Mennyi számolható el a NIS2-munkából az AI Act alatt?
Kilenc kontrollterületből hét részben újrahasznosítható. A kockázati nyilvántartás, az eszközleltár, a naplózási platform, az incidenseljárás, a beszállítói klauzulakészlet, a dokumentumtár és a képzési program NIS2-változata jó alap az AI Act alá is. Négy dolgot viszont nulláról kell felépíteni, és a két bejelentési csatorna nem vonható össze.
2 520
auditköteles magyar szervezet az SZTFH nyilvántartásában
SZTFH, 2026-07-10
388
nem teljesítette a 2026-06-30-i első audit-határidőt
SZTFH, 2026-07-10
16 hónap
csúszás az AI Act magas kockázatú szabályaiban, új dátum 2027-12-02
(EU) 2026/1744
Az iparágban kering egy 80 százalékos újrahasznosítási szám. Szerintem ez túlzás, és rossz irányba tereli a tervezést. Ami tényleg átvihető, az a folyamat-állvány: a szerepek, a felülvizsgálati ciklusok, a jóváhagyási workflow, a nyilvántartások formátuma. A bizonyíték maga alig. Egy kiberbiztonsági kockázatelemzés nem mond semmit arról, reprezentatív-e a tanítóadat, és egy sérülékenységvizsgálati jelentés nem helyettesíti a torzításmérést. A jó hír, hogy pont az állvány felépítése tart hónapokig, a kitöltés hetekig.
Ki esik egyszerre a NIS2 és az AI Act hatálya alá?
A két hatálylista teljesen független. A NIS2 magyar átültetése, a 2024. évi LXIX. törvény ágazat és méret alapján fog meg, az AI Act pedig aszerint, hogy mire használod az MI-t. A metszet mégis nagy: minden 50 fő feletti, mellékletben szereplő szervezet, amelyik önéletrajzot szűr vagy teljesítményt monitoroz MI-vel, mindkettő alá esik.
A méretküszöb 2026. január 6-tól változott. A 2025. évi CXXXV. törvény átírta a Kibertv. 1. §-ának hatálytesztjét: a szervezet akkor köteles, ha a 2. vagy 3. melléklet szerinti ágazatban működik, és középvállalkozásnak minősül a KKV tv. szerint, vagy önállóan eléri az 50 fős létszámot, illetve a 10 millió eurónak megfelelő árbevétel és mérlegfőösszeg határt. A konszolidált számítás automatikus alkalmazása kikerült a tesztből, ezért sok cégcsoporti leányvállalat kicsúszott a hatály alól. A hatály, a határidők és a bírságsávok részletei a NIS2 alapcikkünkben vannak kifejtve, itt csak a metszet érdekes.
| Ágazat a Kibertv. 2–3. mellékletében | Tipikus MI-használat | Hova esik az AI Act alatt |
|---|---|---|
| Energetika, víziközmű, közlekedés | terhelés-előrejelzés, hálózati anomáliadetektálás, forgalomirányítás | III. melléklet 2. pont, magas kockázatú, ha biztonsági alkatrészként működik. FRIA nem kell rá. |
| Egészségügyi szolgáltató | képalkotó-támogatás, triázs, dokumentálás | I. melléklet, ha orvostechnikai eszközbe épül: 2028-08-02. A segélyhívás-osztályozás III. melléklet 5. pont. |
| Gyártás, NACE 26–30 | gépi látás alapú minőségellenőrzés, prediktív karbantartás | Jellemzően minimális kockázat. A gépi termékekbe épített MI az omnibusszal kikerült a magas kockázatú körből, a részleteket delegált aktus rendezi. |
| Digitális infrastruktúra: felhő, adatközpont, CDN | anomáliadetektálás, kapacitástervezés, ügyfélszolgálati ügynök | Art. 50 chatbot-jelzés 2026-08-02 óta él. Egyébként jellemzően minimális kockázat. |
| Kihelyezett IKT-szolgáltató, MSP és MSSP | ügyfélrendszerekben futó ügynökök, automatizált riasztáskezelés | Szerepfüggő. Az Art. 25 dönti el, hogy szolgáltató vagy alkalmazó vagy az adott rendszer tekintetében. |
| Online piactér, keresőszolgáltató, közösségi média | ajánlórendszer, tartalommoderáció, generatív tartalom | Art. 50(2) és 50(4) jelölés. A 2026-08-02 előtt piacon lévő rendszereknél 2026-12-02-ig van türelmi idő. |
| Bármelyik ágazat 50 fő felett | önéletrajz-szűrés, előléptetési javaslat, teljesítménymonitoring | III. melléklet 4. pont, magas kockázatú, 2027-12-02-től. Ez a leggyakoribb metszet. |
Érdemes külön kiemelni az utolsó sort. A legtöbb cég azt hiszi, hogy az AI Act magas kockázatú része az energetikáról és az egészségügyről szól. A gyakorlatban a leggyakoribb magas kockázatú rendszer egy HR-eszköz, amit a felhőalapú toborzószoftverrel együtt vettek meg, és amiről az IT-nak fogalma sincs. Ahol a NIS2 és az AI Act tényleg összeér, az az energetika: ott a NIS2 alapvető szervezeti státusz és a III. melléklet 2. pontja ugyanazon a SCADA-rendszeren találkozik.
Mit kér a NIS2 és mit kér az AI Act ugyanarra a kontrollra?
Kilenc területen kérnek hasonlót. Az ellátási lánc, az üzletmenet-folytonosság és a képzés majdnem teljesen átfed. A kockázatkezelés és a dokumentáció keretrendszer szintjén átfed, tartalomban nem. A naplózás félig, mert az AI Act a modell döntési nyomvonalát kéri, nem a szerverlogot. Az incidensbejelentés folyamatban átfed, csatornában egyáltalán nem.
| Kontrollterület | Mit kér a NIS2 (Kibertv.) | Mit kér az AI Act | Átvihető? |
|---|---|---|---|
| Kockázatkezelés | 6. § (2)–(3): kockázatmenedzsment keretrendszer, hatáselemzés, kockázatelemzés. 6. § (4): kétévente felülvizsgálat. | Art. 9: folyamatos, iteratív kockázatkezelés a teljes életciklusra, 2027-12-02-től. | Nagyrészt. A keretrendszer, az értékelési skála és a ciklus átvihető. Az MI-specifikus kockázattípusok, a torzítás, a hallucináció és a prompt injection hiányoznak belőle. |
| Adat- és hozzáférés-kezelés | 6. § (3) 1.: EIR-leltár. A NIS2 21. cikk (2) i) pontja szerinti hozzáférés-ellenőrzési politika. | Art. 10: tanító, validációs és teszt adathalmazok relevanciája, reprezentativitása, torzításvizsgálat. Art. 26: a bemeneti adat relevanciája az alkalmazónál. | Csak a hozzáférési fele. Az Art. 10 adatminőségi követelményeinek a NIS2-ben nincs megfelelője. |
| Naplózás | 6. § (5) c): az EIR eseményeinek nyomonkövethetősége, a 7/2024. MK rendelet szerinti naplózási intézkedésekkel. | Art. 12: automatikus eseménynaplózás a rendszer élettartama alatt. Art. 19 és Art. 26 (6): legalább 6 hónap megőrzés. | Az infrastruktúra igen, a tartalom nem. Egy SIEM nem tudja, milyen promptra milyen eszközhívás jött. |
| Incidenskezelés és bejelentés | 66. §: korai előrejelzés 24 óra, részletes bejelentés 72 óra, zárójelentés egy hónap, mind az NKI felé. | Art. 73: súlyos incidens 15 napon belül, széles körű jogsértésnél vagy kritikus infrastruktúra súlyos zavaránál 2 nap, halálesetnél 10 nap, a piacfelügyeleti hatóság felé. | A folyamat igen, a csatorna nem. A 24 órás óra a szigorúbb, aki arra készül, az AI Act határidőit is hozza. |
| Ellátási lánc | 6. § (5) d): a közreműködőre szerződéses kötelemként kell átterhelni a követelményeket. 6. § (6): a vezető felelőssége megmarad. 11. § (9): információkérési jog. | Art. 25: felelősségek az MI-értékláncban. Art. 53 (1) b) és a XII. melléklet: a GPAI-szolgáltató tájékoztatja a downstream szolgáltatót. | Igen, itt a legjobb az arány. Ugyanaz a due diligence csomag bővíthető MI-mellékletekkel. |
| Üzletmenet-folytonosság | A NIS2 21. cikk (2) c) pontja. A magyar jogban a 7/2024. MK rendelet osztályonkénti intézkedései és a Kibertv. 6. § (5) e) szerinti helyreállítás. | Art. 15 (4): redundancia, tartalék- és biztonságos leállási megoldások, a visszacsatolási hurkok torzításának kezelése. | Igen. Az MI-kiesési forgatókönyv ugyanabba a BCP-dokumentumba kerül, egy plusz fejezetként. |
| Vezetői felelősség | 6. § (2) és (6): a szervezet vezetője felel akkor is, ha közreműködőt vesz igénybe. A 418/2024. Korm. r. 42. § (4) szerint a vezetőre személyesen 15 millió forint bírság szabható ki. | Art. 26: alkalmazói kötelezettségek a szervezetre. Art. 99: a bírság a szervezetet terheli, a tiltott gyakorlatoknál 35 millió euró vagy a világméretű árbevétel 7 százaléka. | Részben. Az AI Act nem ismer személyes vezetői bírságot, a NIS2 magyar végrehajtási rendelete igen. |
| Dokumentáció | 6. § (3) 7.: információbiztonsági szabályzat, kétévente felülvizsgálva. Rendszerbiztonsági terv az NKI sablonjai szerint. | Art. 11 és a IV. melléklet: műszaki dokumentáció. Art. 17: minőségirányítási rendszer. Art. 18: tízéves dokumentumőrzés. Art. 72: forgalomba hozatal utáni monitoring terv. | A tár, a verziózás és a jóváhagyási workflow igen. A IV. melléklet tartalma szinte teljesen új írás. |
| Képzés | 6. § (5) a): a vezető a munkatársaknak és saját magának is köteles kiberbiztonsági képzést biztosítani. | Art. 4: MI-jártasság, 2025-02-02 óta. Az omnibusz enyhítette, mostantól a fejlődés támogatása a kötelezettség. | Igen. Egy éves képzési program két modullal és egy teljesítési nyilvántartással mindkettőnél bizonyíték. |
A táblázat saját jogszabály-összevetés. Sem az SZTFH, sem az NKI, sem az MI piacfelügyeleti hatóság nem publikált iránymutatást a két megfelelés összehangolására, és 2026 augusztusáig egyetlen magyar hatósági állásfoglalást sem találtam a témában. Aki ennél határozottabb választ ígér, az saját értelmezést ad el biztos tudás gyanánt. Az Art. 21(2) szerinti tíz intézkedés magyar leképezését a NIS2 csekklistánk bontja ki intézkedésenként.
Hol nem elég önmagában a NIS2 munkaterméke?
Négy területen. Az alapjogi hatásvizsgálat, az adatkormányzás és a torzításmérés, az emberi felügyelet tervezése, valamint a pontosság és robusztusság igazolása olyan bizonyítékokat kér, amiket egy kiberbiztonsági program soha nem termel meg. Ezekre külön munkacsomagot kell nyitni, és a szakértelem is máshonnan jön.
Alapjogi hatásvizsgálat, Art. 27
A FRIA nem kockázatelemzés informatikai értelemben. Azt kell benne végigvezetni, hogy a rendszer milyen konkrét ártalmat okozhat természetes személyeknek és csoportoknak, milyen gyakran és mennyi ideig fut, milyen emberi felügyeleti intézkedések védik az érintetteket, és hova panaszkodhatnak. Közjogi szerveket, közszolgáltatást nyújtó magánszervezeteket, valamint a hitelképesség-értékelést és az élet- és egészségbiztosítási kockázatértékelést végző alkalmazókat köti. A kritikus infrastruktúrát nem. A kitöltött sablont be kell nyújtani a piacfelügyeleti hatósághoz. Az omnibusz ezt is 2027. december 2-re tolta, mert az Art. 27 a III. fejezet 3. szakaszában van.
Adatkormányzás és torzításmérés, Art. 10
Itt nincs mit átvinni. Az Art. 10 azt kéri, hogy a tanító, a validációs és a teszt adathalmaz releváns, kellően reprezentatív és lehetőség szerint hibamentes legyen, és hogy a torzításokat megvizsgálják. Ehhez adatelemzés kell, alcsoportonkénti teljesítménymérés, és annak dokumentálása, mit tettél a talált eltérésekkel. Az omnibusz egy dolgot itt kitágított: a különleges kategóriájú adatok torzításészlelés céljából történő kezelése immár minden MI-rendszerre kiterjed, nem csak a magas kockázatúakra, visszaállított szigorú szükségességi mércével.
Emberi felügyelet, Art. 14 és Art. 26
Az Art. 14 tervezési követelmény: a rendszert úgy kell megépíteni, hogy az emberi felügyelet ténylegesen gyakorolható legyen, beleértve a beavatkozást és a leállítást. Az Art. 26 pedig azt kéri az alkalmazótól, hogy kompetens, képzett és felhatalmazott természetes személyre bízza ezt. A Kibertv. 11. §-a szerinti, EIR biztonságáért felelős személy erre nem alkalmas automatikusan: más a végzettségi profil, és a jogszabály kifejezetten elvárja, hogy ne tartozzon az IT-üzemeltetés alá. Két külön szerep, egy közös RACI-mátrixban.
Pontosság és robusztusság, Art. 15
Ez az egyetlen a négyből, ahol a NIS2-munka részben számít. Az Art. 15 (5) nevesítve kéri az adatmérgezés, a modellmérgezés, az adversarial példák, a model evasion és a bizalmasság elleni támadások elleni ellenállóképességet. A pentest- és sérülékenységvizsgálati program erre kiterjeszthető. Amit a NIS2 nem ad meg, az a pontossági metrika: ki kell mondani, milyen teljesítményszinten működik a rendszer, ezt fel kell tüntetni a használati utasításban az Art. 13 szerint, és mérni kell, hogy tartja-e. A GDPR és az AI Act együttes kezeléséről külön írtunk az AI Act, GDPR és AI biztonság cikkben.
Mi történik, ha egy AI-ügynök hozzáfér egy NIS2-hatályos rendszerhez?
Az ügynök attól a pillanattól kezdve az elektronikus információs rendszer része. Fel kell venni a Kibertv. 6. § (3) 1. pontja szerinti leltárba, saját azonosítót és minimális jogosultságot kell kapnia, a tevékenységét naplózni kell, és ha kárt okoz, indul a 24 órás óra. Ezt ma nagyon kevés magyar cég csinálja végig.
Hozzáférés-kezelés
A leggyakoribb hiba, hogy az ügynök egy ember nevében lép be, mert így volt a leggyorsabb integrálni. Ezzel egyszerre sérül a hozzáférés-ellenőrzési politika és a naplózás értelme, hiszen a naplóban egy kolléga neve szerepel akkor is, amikor egy modell írt a rendszerbe. Amit érdemes elvárni: saját szolgáltatásfiók, nevesített emberi gazda, olvasási jog alapértelmezésben, írási művelet csak szűk, visszavonható API-n keresztül, forgatott kulcsok, és egy leállító kapcsoló, ami egy kattintással kiveszi az ügynököt a rendszerből. Ez utóbbi egyszerre szolgálja a Kibertv. 6. § (5) e) szerinti gyors reagálást és az AI Act Art. 14 szerinti emberi felügyeletet.
Naplózás
Egy ügynöknél három rétegben keletkezik nyom, és a hagyományos NIS2-naplózás csak az elsőt fogja meg.
- Infrastruktúra-szint: bejelentkezés, API-hívás, adatbázis-művelet. Ez a SIEM-ben van, a Kibertv. 6. § (5) c) ezt kéri.
- Döntési szint: milyen prompt érkezett, milyen eszközt hívott a modell, milyen paraméterrel, mi jött vissza. Ez az AI Act Art. 12 tárgya, és egy tipikus SIEM-be nem kerül bele.
- Modellverzió-szint: melyik modell, melyik verzió, milyen rendszerprompt, milyen hőmérséklet. Enélkül egy hat hónappal ezelőtti döntés nem rekonstruálható.
A megőrzési politikát a szigorúbb határidő vezérli. Az AI Act legalább hat hónapot ír elő az Art. 19 és az Art. 26 (6) alapján, a magyar ágazati szabályok ennél hosszabbat is előírhatnak. Az eszközoldalról a LangFuse és LangSmith összevetése mutatja meg, hogyan néz ki ez a második réteg a gyakorlatban.
A 24 órás óra egy MI-incidensre
Itt jön a jogilag legbizonytalanabb pont, és jobb ezt kimondani, mint magabiztosan tévedni. A Kibertv. 66. § (2) azt teszi bejelentendővé, ami a szervezet működésében vagy szolgáltatásnyújtásában súlyos zavart vagy vagyoni hátrányt okoz, illetve másnak jelentős vagyoni vagy nem vagyoni kárt okoz. Ez a megfogalmazás nem beszél támadóról. Ha egy ügynök hibás adatot ír vissza az ERP-be és leáll a kiszállítás, a tényállás nyelvtanilag illeszkedik. Magyar hatósági iránymutatás erre nincs.
Az általunk használt gyakorlati elhatárolás a következő. Ha az esemény kiváltója külső befolyásolás, például egy beérkező e-mailbe vagy dokumentumba rejtett prompt injection, akkor kiberbiztonsági incidensként kell kezelni, indul a 24 óra az NKI felé. Ha tiszta modellhibáról van szó adverzáriális beavatkozás nélkül, akkor elsősorban minőségi hiba, és az AI Act 73. cikke szerinti súlyos incidens lehet belőle, ha a rendszer magas kockázatú. Csakhogy az Art. 73 a magas kockázatú rendszerekre 2027. december 2-ig nem alkalmazandó, tehát ma egy nem magas kockázatú ügynök meghibásodására nincs uniós MI-bejelentési kötelezettség. Ha viszont a cég NIS2 alatt van, a Kibertv. akkor is ott lehet.
Mit kell megkövetelned az AI-szállítódtól szerződésben?
A Kibertv. 6. § (5) d) pontja szerint a fejlesztést, üzemeltetést, karbantartást vagy adatfeldolgozást végző közreműködőre szerződéses kötelemként kell átterhelni a kiberbiztonsági követelményeket, és a 6. § (6) szerint a vezető felelőssége ettől nem szűnik meg. Ezért a szerződés nem formalitás, hanem az egyetlen jogi eszközöd.
| Klauzula | Miért kell | Jogalap |
|---|---|---|
| Szerepallokáció | Rögzíteni kell, ki a szolgáltató és ki az alkalmazó az adott rendszer tekintetében, és mi történik, ha ez megváltozik. | AI Act Art. 3(3), 3(4), Art. 25 |
| Védjegy- és rendeltetés-korlát | Ha a saját neved alatt adod ki, vagy megváltoztatod a rendeltetést, szolgáltatóvá válsz a teljes Art. 16 csomaggal. | AI Act Art. 25 (1) |
| Dokumentációátadás | A GPAI-szolgáltatótól lejövő képesség- és korlátleírás nélkül nem tudod teljesíteni a saját kötelezettségeidet. | AI Act Art. 53 (1) b), XII. melléklet, Art. 13 |
| Naplóformátum és megőrzés | Ha a szállító nem adja ki a döntési nyomvonalat exportálható formában, nincs mit megőrizned hat hónapig. | AI Act Art. 12, Art. 19, Art. 26 (6) |
| Modell- és verzióváltás bejelentése | Egy csendes modellcsere lényeges módosításnak minősülhet, és átbillentheti a szerepedet. | AI Act Art. 25 (1) b) |
| Incidensértesítési SLA | A szállítónak 24 óránál előbb kell szólnia, különben nem tudod tartani a saját 24 órás korai előrejelzésedet. | Kibertv. 66. §, 6. § (5) d) |
| Auditjog és információkérés | Az EIR biztonságáért felelős személy jogszabály alapján is kérhet információt, de a szerződés teszi kikényszeríthetővé. | Kibertv. 11. § (9) |
| Adatkezelés és tanítási kizárás | Ki kell zárni, hogy a szállító a te adatodon tanítson, és rögzíteni kell az adattárolás földrajzi helyét. | GDPR, AI Act Art. 10 |
Fordítva is igaz, és ez a magyar piac legnagyobb kihasználatlan csatornája. A NIS2 hatálya alá nem tartozó beszállítók tízezrei kapják meg ugyanezeket a követelményeket szerződéses úton, anélkül hogy bármelyik jogszabály közvetlenül vonatkozna rájuk. Ha szoftverfejlesztő vagy MI-szállító vagy, ezt a klauzulakészletet előbb-utóbb aláíratják veled. Jobb, ha te viszed be a tárgyalásra.
Hogyan néz ki egy közös megfelelési munkaterv?
Egy leltár, egy kockázati nyilvántartás, egy naplózási politika, egy incidensfolyamat két bejelentési sínnel, egy beszállítói csomag és egy képzési program. Erre jön rá az MI-specifikus négy munkacsomag. Az alábbi ütemezés abból indul ki, hogy a NIS2 alapok megvannak, és 2027. december 2-ig kell AI Act-készen állni.
| Szakasz | Mi történik | Kimenet |
|---|---|---|
| 0–30 nap | Az EIR-leltár kiegészítése MI-mezőkkel: modell, verzió, adatforrás, szerep, üzleti gazda. Az Art. 50 átláthatósági kötelezettségek átvizsgálása, mert azok 2026-08-02 óta élnek. | Egyesített leltár, chatbot-jelzés és tartalomcímkézés rendben |
| 30–90 nap | A meglévő kockázati nyilvántartás bővítése MI-nézettel. Naplózási és megőrzési politika kiterjesztése a döntési nyomvonalra. Incidens-eszkaláció kétsínűsítése. | Egy kockázati regiszter, egy log-politika, egy eszkalációs folyamat |
| 90–180 nap | Besorolás: biztonsági osztály a 7/2024. MK rendelet szerint, párhuzamosan AI Act kockázati kategória az Art. 6 és a III. melléklet alapján. Beszállítói klauzulakészlet kiküldése. Képzési program két modullal. | Besorolási határozatok, aláírt szállítói mellékletek, képzési nyilvántartás |
| 2027 első fél év | A magas kockázatúnak besorolt rendszerekre IV. melléklet szerinti műszaki dokumentáció, adatkormányzási és torzításmérési jegyzőkönyvek, emberi felügyeleti terv, ahol kell FRIA. | Rendszerenkénti dokumentációs csomag |
| 2027 második fél év | Megfelelőségértékelés az Art. 43 szerint, EU megfelelőségi nyilatkozat, CE-jelölés, regisztráció az EU-adatbázisban, ahol releváns. | Piacra vihető állapot 2027-12-02-re |
| 2028 közepe | A második kötelező NIS2 audit. Ekkorra az MI-kontrollok már a rendes kiberbiztonsági bizonyítékok között vannak. | Egy auditra készülés két megfeleléshez |
Egy dolgot ne halassz. Az Art. 50 átláthatósági kötelezettségek 2026. augusztus 2-án életbe léptek, az Art. 99 szerinti szankciórendszer pedig 2025. augusztus 2. óta alkalmazandó. Ha a weboldaladon fut egy chatbot, és nincs kiírva, hogy MI-vel beszél a látogató, az ma jogsértés, nem jövőbeli kockázat. Ez néhány óra munka, és a legolcsóbb dolog az egész programban.
Összegzés és gyakori kérdések
Ha lezártuk a NIS2 auditot, kell még AI Act megfelelés is?
Kell, ha a cég olyan MI-rendszert használ vagy kínál, amely az AI Act hatálya alá esik. A két szabályozás hatálya független egymástól: egy víziközmű-szolgáltató lehet NIS2-köteles MI nélkül, egy 30 fős HR-cég pedig AI Act-köteles NIS2 nélkül. A NIS2 audit bizonyítékai a kockázatkezelésnél, a naplózásnál, az ellátási láncnál és a képzésnél újrahasználhatók, de a két rendszer között nincs kölcsönös elismerés.
Mikortól kell teljesíteni az AI Act magas kockázatú követelményeit?
A III. melléklet szerinti önálló rendszereknél 2027. december 2-től, az I. melléklet szerinti, termékbe ágyazott rendszereknél 2028. augusztus 2-től. Az (EU) 2026/1744 rendelet, a Digital Omnibus on AI, 2026. július 27-én lépett hatályba, és 16, illetve 12 hónappal tolta ki ezeket a dátumokat. Az Art. 50 átláthatósági kötelezettségek viszont 2026. augusztus 2-tól élnek, ezeken az omnibusz nem változtatott.
Az AI Act incidensbejelentése ugyanoda megy, mint a NIS2-é?
Nem. A Kibertv. 66. §-a szerinti bejelentés a Nemzeti Kibervédelmi Intézethez megy: 24 órán belül korai előrejelzés, 72 órán belül részletes bejelentés, egy hónapon belül zárójelentés. Az AI Act 73. cikke szerinti súlyos incidens az MI piacfelügyeleti hatósághoz megy, fő szabály szerint 15 napon belül. Két hatóság, két űrlap, két óra. A Kibertv. 6. § (7) kifejezetten kimondja, hogy a bejelentés nem érinti a más törvény szerinti jelentési kötelezettségeket.
NIS2-incidensnek számít, ha egy AI-ügynök hibázik?
Erre 2026 augusztusában nincs magyar hatósági iránymutatás. A Kibertv. 66. § (2) a működésben súlyos zavart vagy vagyoni hátrányt okozó eseményt teszi bejelentendővé, és ez a megfogalmazás nem zárja ki a modellhibát. Ha külső támadó váltotta ki, például egy beérkező dokumentumba rejtett prompt injectionnel, akkor a besorolás egyértelmű. Tiszta modellhibánál vitatható, és a hatóság eddig nem foglalt állást.
Elég az ISO 27001 vagy az ISO 42001 tanúsítvány a két megfeleléshez?
Nem elég, de sokat segít. A Kibertv. 6. § (8) szerint tanúsított IKT-termék, szolgáltatás vagy folyamat felhasználható a megfelelés igazolására, az AI Act 40–42. cikke pedig a harmonizált szabványokhoz köti a megfelelőségi vélelmet. Arra viszont nem találtam magyar hatósági iránymutatást, hogy egy ISO 42001 tanúsítvány formális NIS2-megfelelési vélelmet keletkeztetne. Hatékonysági érv, nem jogi vélelem.
Mi történik, ha a saját nevünk alatt adjuk ki a beszállító MI-rendszerét?
Az AI Act 25. cikke szerint szolgáltatóvá válsz, és rád szállnak a 16. cikk szerinti szolgáltatói kötelezettségek. Ugyanez történik, ha lényegesen módosítod a rendszert, vagy megváltoztatod a rendeltetését úgy, hogy magas kockázatúvá válik. Az eredeti szolgáltató ilyenkor mentesül, de köteles együttműködni és műszaki hozzáférést adni. Ez a szállítói szerződés legdrágább mondata.
A 2026-os hatályszűkítés után is NIS2-köteles a cégünk?
Érdemes újraszámolni. A 2025. évi CXXXV. törvény 2026. január 6-tól átírta a Kibertv. személyi hatályának tesztjét, és megszüntette a partner- és kapcsolódó vállalkozási, konszolidált számítás automatikus alkalmazását az önálló küszöbtesztnél. Emiatt sok cégcsoporti leányvállalat kikerült a hatály alól, miközben a felkészülésük még a 2025-ös, tágabb értelmezés szerint fut.
Források
- 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (Kibertv.)
- 418/2024. (XII. 23.) Korm. rendelet a Kibertv. végrehajtásáról
- 7/2024. (VI. 24.) MK rendelet a biztonsági osztályba sorolásról
- Jogászvilág: a Kibertv. személyi hatályának 2026-os újrarajzolása (2025. évi CXXXV. törvény)
- SZTFH: Lezárult a kiberbiztonsági auditok határideje (2026-07-10)
- Nemzeti Kibervédelmi Intézet: jogszabályok és incidensbejelentés
- EUR-Lex: (EU) 2026/1744 rendelet (Digital Omnibus on AI)
- Európai Bizottság: Regulatory framework for AI, a módosított dátumokkal
- Future of Privacy Forum: az AI Act idővonala az omnibusz után (2026-07-28)
- 2025. évi LXXV. törvény az EU MI-rendeletének magyarországi végrehajtásáról
- 344/2025. (X. 31.) Korm. rendelet a hatóságkijelölésről
- AI Act Art. 73: súlyos incidensek bejelentése
Ez a cikk tájékoztatás, nem jogi vélemény. A jogszabályhelyek a 2026. augusztus 14-i hatályállapotot tükrözik, és több ponton jeleztük, hol hiányzik a magyar hatósági gyakorlat. Konkrét rendszerre vonatkozó besorolást és kötelezettséglistát csak az adott rendszer ismeretében, jogi tanácsadó bevonásával érdemes megállapítani.
Ha most kezdenéd: a NIS2 megfelelési programunk a kiberbiztonsági oldalt viszi végig, az EU AI Act megfelelés pedig a besorolást, a dokumentációt és a FRIA-t. A kettőt egy projektként érdemes tervezni, mert a leltár, a kockázati regiszter és a beszállítói csomag mindkettőben ugyanaz.
