A kiberbiztonságért való vezetői felelősség 2026-ban új, kézzelfogható kötelezettséggel egészül ki a gyakorlatban: az érintett szervezetek vezetőinek igazolható módon kiberbiztonsági képzésen, majd rendszeres továbbképzésen kell részt venniük.
A kötelezettséget gyakran „NIS2 vezetőképzésként” vagy „2026-ban bevezetendő kiberbiztonsági vezetőképzésként” említik. Jogilag azonban pontosabb ennél a helyzet.
A vezetőképzés részletes szabályait meghatározó 17/2025. (VII. 24.) EM rendelet már 2025 júliusában hatályba lépett. A 2026. december 31-i dátum azért különösen fontos, mert a korábban kinevezett vagy megbízott vezetők jelentős részének eddig kell első alkalommal teljesítenie a legalább nyolcórás képzési kötelezettséget.
Ez nem általános informatikai oktatás, nem egy újabb munkatársi „kibertudatossági prezentáció”, és nem is az elektronikus információs rendszer biztonságáért felelős személy – gyakran EIBF vagy IBF – szakmai továbbképzése.
A szabályozás közvetlenül a szervezet vezetőjét célozza.
Ennek oka, hogy a magyar Kiberbiztonsági törvény és az alapjául szolgáló NIS2 irányelv a kiberbiztonságot már nem kizárólag informatikai, hanem vezetői irányítási és kockázatkezelési kérdésként kezeli.
A 17/2025. (VII. 24.) EM rendelet hatálya alá tartozó szervezet vezetőjének a vezetővé válását követő egy éven belül legalább 8 órás kiberbiztonsági képzésen, ezt követően pedig évente legalább 4 órás továbbképzésen kell részt vennie; a 2025. december 31-ét megelőzően kinevezett vagy megbízott vezetőknek az első képzést legkésőbb 2026. december 31-ig kell teljesíteniük. 17/2025. (VII. 24.) EM rendelet 4. § (1) bekezdés és 9. § (4) bekezdés.
A vezetőképzés tehát nem önkéntes tudatosságnövelő program, hanem jogszabályban meghatározott, igazolandó kiberbiztonsági kötelezettség.
A szabályozás mögött szemléletváltás áll.
Korábban sok szervezetben az információbiztonság elsősorban az informatikai részleg vagy a rendszergazda feladatának számított. A jelenlegi európai és magyar szabályozás ezzel szemben abból indul ki, hogy a kiberbiztonsági kockázatok jelentős része olyan kérdéseket érint, amelyekről csak a vezetés képes dönteni.
Ilyen például a szükséges költségvetés biztosítása, a kockázatok elfogadása, a beszállítók kiválasztása, a felelősségi körök meghatározása, az üzletmenet-folytonosság, a kritikus rendszerek prioritása vagy egy súlyos incidensre adott szervezeti válasz.
A NIS2 irányelv 20. cikke ezért előírja, hogy az alapvető és fontos szervezetek vezető testületei jóváhagyják a kiberbiztonsági kockázatkezelési intézkedéseket, felügyeljék azok végrehajtását, és a tagállami szabályok szerint felelősségre vonhatók legyenek a kötelezettségek megsértéséért. Ugyanez a cikk kifejezetten előírja a vezető testületek tagjai számára a képzéseken való részvételt.
A magyar Kiberbiztonsági törvény ugyanezt a vezetői szerepet építi tovább. A szervezet vezetőjének kockázatmenedzsment keretrendszert kell létrehoznia és működtetnie, továbbá gondoskodnia kell többek között a védelmi feladatok és felelősségi körök oktatásáról, valamint saját maga és a szervezet munkatársainak kiberbiztonsági képzéséről és továbbképzéséről. 2024. évi LXIX. törvény 6. § (2) és (5) bekezdés a) pont.
A vezetőképzés célja ezért nem az, hogy a vezetőből informatikai szakember legyen. Arra kell képessé tennie, hogy értse a saját döntési és felelősségi körében megjelenő kiberbiztonsági kockázatokat, megfelelő kérdéseket tudjon feltenni, és megalapozott vezetői döntéseket hozzon.
A 17/2025. (VII. 24.) EM rendelet vezetői képzésre és továbbképzésre vonatkozó rendelkezéseit a Kiberbiztonsági törvény 1. § (1) és (2a) bekezdése szerinti szervezetekre kell alkalmazni. 17/2025. (VII. 24.) EM rendelet 1. § (2) bekezdés.
Ez lényegesen szélesebb kör annál, mint amit a köznyelvben egyszerűen „NIS2-köteles cégeknek” neveznek.
A főbb érintetti csoportok:
| Szervezeti kör | A kötelezettség szempontjából |
|---|---|
| A Kiberbiztonsági törvény 1. melléklete szerinti közigazgatási szervezetek | Érintettek |
| Települési, közös önkormányzati, megyei jogú városi és fővárosi kerületi hivatalok | Érintettek |
| Meghatározott többségi állami befolyás alatt álló szervezetek | Érintettek, ha a törvényi feltételek fennállnak |
| A hatóság által alapvető vagy fontos szervezetként azonosított szervezetek | Érintettek |
| A Kiberbiztonsági törvény 2. és 3. melléklete szerinti, méretküszöböt elérő szervezetek | Érintettek |
| Egyes digitális szolgáltatók – például elektronikus hírközlési, bizalmi, DNS-, TLD- és doménregisztrációs szolgáltatók | Mérettől függetlenül is érintettek lehetnek |
| Honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságok | Érintettek |
| Egyes külön kijelölt kritikus, illetve az ország védelme és biztonsága szempontjából jelentős szervezetek | A 2a. bekezdés alapján szintén érintettek lehetnek |
A Kiberbiztonsági törvény jelenlegi 1. §-a részletesen meghatározza az egyes szervezeti csoportokat és a méretküszöböket. A 2. és 3. melléklet például többek között az energetika, közlekedés, egészségügy, víziközművek, digitális infrastruktúra és egyes kihelyezett IKT-szolgáltatások területén működő szervezeteket fogja át.
Emiatt annak eldöntésekor, hogy egy vezetőnek kell-e képzésen részt vennie, először nem a képzést, hanem a szervezet Kiberbiztonsági törvény szerinti jogállását kell tisztázni.
Ez a Tervio Kft. által támogatott önkormányzati körben különösen fontos kérdés.
A Kiberbiztonsági törvény 1. melléklete kifejezetten a közigazgatási ágazathoz tartozó szervezetek közé sorolja a települések képviselő-testületének hivatalait. Ide tartoznak a polgármesteri és közös önkormányzati hivatalok is.
A Kormány által közzétett 2025. évi 5. számú Önkormányzati Hírlevél kifejezetten rögzíti, hogy a Kiberbiztonsági törvényben alkalmazott „szervezet vezetője” fogalomnak a hivatal esetében a jegyző felel meg.
Ez azt jelenti, hogy egy önkormányzati hivatal esetében a vezetőképzési kötelezettség címzettje nem általában a polgármester vagy a képviselő-testület, hanem a jegyző mint a hivatal vezetője.
A 20 000 főt meg nem haladó lakosságszámú települések képviselő-testületeinek hivatalai a Kiberbiztonsági törvény alapján fontos szervezetnek, az ennél nagyobb települések hivatalai főszabály szerint alapvető szervezetnek minősülnek. Ez a besorolási különbség azonban a 17/2025. EM rendelet szerinti vezetőképzési kötelezettséget nem szünteti meg: a rendelet a Kiberbiztonsági törvény 1. § (1) bekezdésének teljes szervezeti körére kiterjed.
A kisebb települési hivatal tehát nem mentesül a vezetőképzés alól, mert „csak” fontos szervezetnek minősül. A jegyző képzési kötelezettségét ettől függetlenül vizsgálni kell.
A rendelet két külön kötelezettséget határoz meg: egy első, legalább nyolcórás vezetői képzést, majd az azt követő években éves továbbképzést.
A szervezet vezetője a vezetővé válását követő egy éven belül legalább 8 órás képzésen köteles részt venni. Ezt követően évente legalább 4 óra továbbképzést kell teljesítenie. 17/2025. (VII. 24.) EM rendelet 4. § (1) bekezdés.
| Helyzet | Kötelezettség | Határidő |
|---|---|---|
| 2025. december 31-ét megelőzően kinevezett vagy megbízott vezető | Legalább 8 órás alapozó vezetőképzés | 2026. december 31. |
| Később vezetővé váló személy | Legalább 8 órás alapozó vezetőképzés | A vezetővé válást követő 1 éven belül |
| Az alapozó képzést már teljesített vezető | Legalább 4 órás továbbképzés | Évente |
A 2025. december 31-ét megelőzően kinevezett vagy megbízott vezetőkre vonatkozó átmeneti határidőt a rendelet 9. § (4) bekezdése határozza meg.
Az átmeneti rendelkezés szó szerint a 2025. december 31-ét megelőzően kinevezett vagy megbízott vezetőkre vonatkozik. Ha valakit éppen 2025. december 31-én neveztek ki, rá már az általános, vezetővé válástól számított egyéves szabály alkalmazandó; ennek eredménye ebben az esetben szintén 2026. december 31-i teljesítési határidő.
A képzés tárgyköreit nem a képző szabadon választja meg: azok alapvető kereteit maga a jogszabály határozza meg.
A legalább nyolcórás alapozó vezetőképzésnek a kiberbiztonsági trendekkel, a kiberbiztonsági kockázatokkal és szervezeti stratégiákkal, az uniós és hazai kiberbiztonsági jogszabályi kötelezettségekkel, az incidenskezeléshez kapcsolódó vezetői feladatokkal, valamint a jó gyakorlatok és tapasztalatok megosztásával kell foglalkoznia. 17/2025. (VII. 24.) EM rendelet 4. § (2) bekezdés.
Az éves továbbképzés tartalma részben hasonló, de kifejezetten a változások követésére épít.
| Első, legalább 8 órás képzés | Éves, legalább 4 órás továbbképzés |
|---|---|
| Kiberbiztonsági trendek | Kiberbiztonsági trendek |
| Kiberbiztonsági kockázatok és szervezeti stratégiák | Kiberbiztonsági kockázatok és szervezeti stratégiák |
| Uniós és hazai jogszabályi kötelezettségek és feladatok | A jogszabályi kötelezettségek és feladatok változásai |
| Incidenskezeléshez kapcsolódó feladatok | Jó gyakorlatok és tapasztalatok |
| Jó gyakorlatok és tapasztalatok | – |
A jogszabályi tematika egyértelműen vezetői szintű tudást céloz. A képzésnek nem a tűzfal konfigurálását vagy a szerverek üzemeltetését kell megtanítania, hanem azt, hogy a vezető felismerje a kiberbiztonsági kockázatok szervezeti jelentőségét, ismerje a rá háruló kötelezettségeket, és incidenshelyzetben tisztában legyen a saját döntési szerepével.
Ez szorosan kapcsolódik ahhoz a szemlélethez, amelyet korábbi cikkünkben is bemutattunk: az információbiztonság nem kizárólag az informatikus feladata.
Nem.
A rendelet szerint a vezető képzése és továbbképzése a felnőttképzésről szóló 2013. évi LXXVII. törvény szerinti képzési formában valósítható meg. A képzést olyan, az Fktv. szerint bejelentett felnőttképző szervezheti, amely kiberbiztonsági területen legalább hároméves oktatási, képzési tapasztalattal rendelkező szakembert tud oktatóként biztosítani. 17/2025. (VII. 24.) EM rendelet 5. § (1)–(2) bekezdés.
A képzéshez az Fktv. szerinti képzési programot kell készíteni, azt a felnőttképzési adatszolgáltatási rendszerbe fel kell tölteni, és magának a képzési programnak is hivatkoznia kell a 17/2025. (VII. 24.) EM rendeletre. A kiberbiztonsági hatóság a tananyagot, valamint a képzőre és az oktatóra vonatkozó feltételek teljesülését is vizsgálhatja.
A tananyagnak az aktuális kiberbiztonsági trendeket és fenyegetéseket kell tükröznie, és legalább egy olyan fejezetet kell tartalmaznia, amelyet a képzés megkezdését megelőző egy éven belül aktualizáltak.
Egy általános „cyber awareness” kurzus, egy konferencia, webinár vagy belső előadás tehát nem tekinthető automatikusan a jogszabály szerinti vezetőképzés teljesítésének. A kiválasztott képző és képzési program megfelelőségét a jelentkezés előtt célszerű ellenőrizni.
A képzés vagy továbbképzés elvégzéséről a felnőttképző az Fktv. 13/B. §-a szerinti tanúsítványt állít ki. A képzési kötelezettség teljesítését a kiberbiztonsági hatóság vizsgálhatja, és a résztvevőnek a hatósági vizsgálat során a tanúsítványt be kell tudnia mutatni. 17/2025. (VII. 24.) EM rendelet 5. § (6) bekezdés és 6. § (5)–(6) bekezdés.
Kontaktórás képzés esetén további gyakorlati követelmény, hogy a teljes óraszám 10%-ánál magasabb hiányzás mellett a felnőttképző nem állíthatja ki a tanúsítványt. 17/2025. (VII. 24.) EM rendelet 5. § (7) bekezdés.
A tanúsítványt ezért nem pusztán a vezető személyes dokumentumaként célszerű kezelni. A szervezet kiberbiztonsági megfelelési dokumentációjában is nyomon követhető módon meg kell őrizni, hogy egy későbbi hatósági ellenőrzés során a kötelezettség teljesítése igazolható legyen.
A 17/2025. (VII. 24.) EM rendelet nem ír elő egységes hatósági záróvizsgát, és nem határoz meg általánosan kötelező minimum százalékos eredményt a vezetői képzés teljesítéséhez. A jogszabály a képzés időtartamát, tárgyköreit, a képzőre és oktatóra vonatkozó követelményeket, a tanúsítványt és kontaktórás képzés esetén a hiányzás korlátját szabályozza.
Ettől függetlenül az adott felnőttképző saját képzési programja tartalmazhat tudásellenőrzést vagy számonkérést. Ez azonban nem tévesztendő össze egy jogszabály által egységesen előírt „kiberbiztonsági vezetői vizsgával”.
Igen, de a mentesülés nem automatikus, és dokumentumokkal igazolhatónak kell lennie.
Az első, legalább nyolcórás vezetőképzés alól mentesülhet az a személy, aki igazolja, hogy a képzési kötelezettség keletkezését megelőző öt éven belül olyan képzést teljesített, amely magában foglalta a vezetőképzésre előírt tárgyköröket. 17/2025. (VII. 24.) EM rendelet 6. § (2) bekezdés.
Az aktuális éves továbbképzés alól is lehetséges mentesülés, ha az érintett az azt megelőző egy éven belül megfelelő tartalmú képzést teljesített, és azt a rendeletben meghatározott okirattal vagy mikrotanúsítvánnyal igazolja.
Ha az igazoló okiratból nem állapítható meg, milyen tárgykörökből és milyen óraszámban történt a korábbi képzés, a mentesülni kívánó személynek további dokumentummal kell bizonyítania, hogy a korábbi program valóban lefedte a rendelet által megkövetelt tartalmat és óraszámot.
Egy vezető korábbi informatikai végzettsége, tanfolyama vagy vezetőképzése tehát önmagában nem elegendő arra, hogy mentesülést feltételezzünk. A korábbi képzés időpontját, tartalmát, óraszámát és az igazoló dokumentum típusát együttesen kell megvizsgálni.
Nem.
A 17/2025. EM rendelet indokolása és szerkezete is külön kezeli a munkatársak kibertudatossági képzését, az EIBF szakmai továbbképzését és a szervezet vezetőjének képzését. A rendelet 6. § (4) bekezdése kifejezetten kimondja, hogy a biztonsági osztályba soroláshoz kapcsolódó miniszteri rendelet szerinti képzésen való részvétel nem mentesít a 17/2025. EM rendelet szerinti képzés és továbbképzés teljesítése alól.
A szervezet ezért nem teljesíti a vezető kötelezettségét pusztán azzal, hogy évente minden munkavállalónak phishing-, jelszókezelési vagy általános információbiztonsági oktatást tart.
A vezetőképzés önálló, vezetői szerepkörhöz rendelt jogszabályi kötelezettség.
Ez az egyik legfontosabb különbségtétel.
A 17/2025. EM rendelet szerint az elektronikus információs rendszer biztonságáért felelős személy évente legalább 20 órás szakmai továbbképzésen köteles részt venni, legalább három jogszabályban meghatározott tárgykörben. A szervezet vezetőjére ezzel szemben első alkalommal legalább 8 órás, majd évente legalább 4 órás képzési kötelezettség vonatkozik.
| Szerepkör | Első képzés | Rendszeres továbbképzés |
|---|---|---|
| Szervezet vezetője | legalább 8 óra | évente legalább 4 óra |
| EIR biztonságáért felelős személy (EIBF/IBF) | a rendelet külön végzettségi és alkalmassági szabályokat tartalmaz | évente legalább 20 óra |
A két kötelezettség célja is eltér. A vezetőnek elsősorban az irányításhoz, kockázatvállaláshoz, jogszabályi felelősséghez és incidenshelyzeti döntéshozatalhoz szükséges ismeretekre van szüksége. Az EIBF továbbképzése ennél lényegesen mélyebb szakmai és technológiai ismeretek fenntartását szolgálja.
Nem.
A Kiberbiztonsági törvény kifejezetten a szervezet vezetőjének feladatává teszi, hogy gondoskodjon saját maga és a szervezet munkatársainak kiberbiztonsági képzéséről. A törvény egyúttal kimondja, hogy a vezető a 6. § (3)–(5) bekezdése szerinti feladatokért főszabály szerint akkor is felel, ha a szervezet külső közreműködőt vesz igénybe.
Külső EIBF, rendszergazda vagy kiberbiztonsági tanácsadó bevonása ezért nem váltja ki a vezető személyes képzési kötelezettségét. A szakértő támogathatja a vezetőt, de nem „végezheti el helyette” a képzést.
Ez összhangban áll a NIS2 logikájával is: az irányelv éppen azért ír elő vezetői képzést, mert a kiberbiztonsági döntésekért felelős vezetőnek magának kell rendelkeznie az ehhez szükséges alapvető ismeretekkel.
A mulasztás nem csupán dokumentációs hiányosság.
A Kiberbiztonsági törvény alapján, ha egy szervezet nem teljesíti a jogszabályban meghatározott biztonsági követelményeket vagy az azokhoz kapcsolódó eljárási szabályokat, a kiberbiztonsági hatóság többek között figyelmeztetést alkalmazhat, határidővel kötelezheti a szervezetet a hiányosság megszüntetésére és a kötelezettség teljesítésére, illetve a törvényben és végrehajtási rendeletben meghatározott esetekben bírságot szabhat ki. 2024. évi LXIX. törvény 30. §.
A nemzeti kiberbiztonsági hatóság felügyelete alá tartozó, a 418/2024. (XII. 23.) Korm. rendelet 2. melléklete szerinti szervezeti körben a „kiberbiztonsági képzés, továbbképzés elvégzését igazoló okirat hiánya” önálló bírságtétel. A rendelet szerint a bírság legalacsonyabb összege 200 000 forint, legmagasabb összege 4 000 000 forint lehet. 418/2024. (XII. 23.) Korm. rendelet 2. melléklet 16. sor.
A Kiberbiztonsági törvény kimondja, hogy ha a szervezet vezetője a jogszabályban előírt kötelezettségét nem teljesíti, a nemzeti kiberbiztonsági hatóság az eset körülményeinek mérlegelésével bírságot szabhat ki vele szemben, ismételt jogsértés esetén pedig bírságot kell kiszabnia.
A végrehajtási kormányrendelet szerint ennek összege legfeljebb 15 000 000 forint lehet. 418/2024. (XII. 23.) Korm. rendelet 42. § (4) bekezdés.
A 418/2024. Korm. rendelet bírságrendszere megkülönbözteti a nemzeti kiberbiztonsági hatóság, illetve az SZTFH felügyelete alá tartozó szervezeteket. A 200 000–4 000 000 forintos, képzési okirat hiányára vonatkozó konkrét tétel a Kiberbiztonsági törvény 1. § (1) bekezdés a)–c) és f) pontja, valamint 1. § (2a) bekezdése szerinti szervezetekre vonatkozó 2. mellékletben található. A Kiberbiztonsági törvény 1. § (1) bekezdés d) és e) pontja szerinti, SZTFH-felügyelet alá tartozó szervezetekre külön bírságrendszer alkalmazandó.
Ezért nem helyes valamennyi NIS2-köteles vállalkozás esetében automatikusan ugyanazt a 200 000–4 000 000 forintos bírságtartományt feltüntetni. A konkrét jogkövetkezményt mindig a szervezet jogállása és az illetékes kiberbiztonsági hatóság alapján kell meghatározni.
2026 második felében a korábban kinevezett vezetők esetében a 2026. december 31-i határidő már közvetlen megfelelési feladat. A teljesítést nem célszerű az év utolsó heteire hagyni.
Gyakorlati ellenőrzőlista:
Meg kell állapítani, hogy a szervezet a Kiberbiztonsági törvény 1. § (1) vagy (2a) bekezdésének hatálya alá tartozik-e.
Egyértelműen azonosítani kell, hogy az adott szervezetnél ki minősül a jogszabály szerinti szervezet vezetőjének.
Rögzíteni kell a vezető kinevezésének vagy megbízásának időpontját, és ebből meg kell határozni a képzési határidőt.
Meg kell vizsgálni, rendelkezik-e a vezető olyan korábbi képzéssel és megfelelő igazoló dokumentummal, amely alapján mentesülhet.
Mentesülés hiányában olyan felnőttképzőt és képzési programot kell választani, amely megfelel a 17/2025. EM rendelet 5. §-ában foglalt követelményeknek.
A képzés után át kell venni és meg kell őrizni az Fktv. szerinti tanúsítványt.
A teljesítést célszerű a szervezet kiberbiztonsági megfelelési nyilvántartásában is dokumentálni.
Az első képzés után az éves legalább négyórás továbbképzési kötelezettséget visszatérő megfelelési feladatként kell kezelni.
A képzési kötelezettség könnyen úgy értelmezhető, mint egy újabb tanúsítvány, amelyet egy esetleges ellenőrzésre meg kell őrizni.
Ez azonban csak a kötelezettség formai oldala.
A Kiberbiztonsági törvény szerint a vezető feladata többek között a kockázatmenedzsment keretrendszer létrehozása és működtetése, a szerepkörök és felelősségek meghatározása, a védelmi intézkedések biztosítása, azok rendszeres értékelése, a hiányosságok orvoslása és a hatósági kötelezések teljesítése.
Ezek olyan döntések, amelyek jelentős pénzügyi, működési és jogi következményekkel járhatnak.
Egy vezetőnek például képesnek kell lennie megérteni, miért jelent kockázatot egy támogatás nélküli rendszer további használata, milyen következménye lehet a biztonsági mentések hiányának, miért kell megfelelően szabályozni a beszállítókat, vagy mikor válik egy informatikai esemény vezetői döntést igénylő kiberbiztonsági incidenssé.
A NIS2 vezetőképzési követelménye éppen ezt a célt követi: a vezetőknek olyan ismeretekkel és készségekkel kell rendelkezniük, amelyek lehetővé teszik a kockázatok felismerését és a kiberbiztonsági kockázatkezelési gyakorlatok szervezetre gyakorolt hatásának értékelését.
Egy jól kialakított vezetőképzés ezért nem az informatikai részleg munkáját magyarázza el a vezetőnek. Azt mutatja meg, melyek azok a kiberbiztonsági kérdések, amelyekben neki kell vezetőként döntenie.
Nem.
A kötelezettség a 17/2025. EM rendelet 1. § (2) bekezdésében meghatározott körre, vagyis a Kiberbiztonsági törvény 1. § (1) és (2a) bekezdése szerinti szervezetek vezetőire vonatkozik. Egy átlagos, a Kiberbiztonsági törvény hatálya alá nem tartozó kisvállalkozás ügyvezetőjét önmagában e rendelet alapján nem terheli a nyolcórás képzési kötelezettség.
A Kiberbiztonsági törvény 1. melléklete a képviselő-testület hivatalát sorolja a törvény hatálya alá, az Önkormányzati Hírlevél pedig kifejezetten rögzíti, hogy a hivatal esetében a törvény szerinti szervezet vezetője a jegyző.
Igen.
A 20 000 főt meg nem haladó települések hivatalai ugyan fontos szervezetnek minősülnek, de ettől még a Kiberbiztonsági törvény 1. § (1) bekezdés a) pontjának hatálya alatt állnak, ezért a 17/2025. EM rendelet vezetőképzési rendelkezései rájuk is alkalmazandók.
Lehetséges, de nem automatikusan.
Mentesülés akkor állhat fenn, ha a vezető igazolja, hogy a kötelezettség keletkezését megelőző öt éven belül olyan képzést teljesített, amely a rendelet által megkövetelt tárgyköröket lefedte. Ha az okiratból ez nem állapítható meg, további dokumentummal kell igazolni a képzés tartalmát és az előírt óraszám teljesítését.
A rendelet nem köti kizárólag személyes jelenléti formához a képzést; azt az Fktv. szerinti képzési formában kell megszervezni, és a képzőnek, a programnak, az oktatónak és a tanúsításnak is meg kell felelnie a 17/2025. EM rendelet feltételeinek.
A döntő kérdés ezért nem önmagában az, hogy online vagy személyes-e a képzés, hanem az, hogy a konkrét képzés jogszabályszerű felnőttképzési programként valósul-e meg.
Nem.
A legalább nyolcórás első képzést követően a szervezet vezetője évente legalább négyórás továbbképzésre köteles. A jogalkotó ezzel kifejezetten folyamatos vezetői tudásfenntartást követel meg.
Igen.
A vezető és az EIBF két külön szerepkör. A külső szakértő alkalmazása nem szünteti meg a szervezet vezetőjére vonatkozó személyes képzési kötelezettséget. A Kiberbiztonsági törvény vezetői felelősségi rendszere éppen arra épül, hogy az információbiztonsági szakmai támogatás mellett a vezető maga is képes legyen a szükséges döntések meghozatalára.
A kötelező kiberbiztonsági vezetőképzést részletesen szabályozó 17/2025. (VII. 24.) EM rendelet már hatályos. A szervezet vezetőjének főszabály szerint a vezetővé válását követő egy éven belül legalább nyolcórás képzést, majd évente legalább négyórás továbbképzést kell teljesítenie. A 2025. december 31-ét megelőzően kinevezett vagy megbízott vezetők első képzésének határideje 2026. december 31.
A szabály különösen fontos az önkormányzati szektorban: a települési hivatalok a Kiberbiztonsági törvény hatálya alá tartoznak, a hivatal esetében pedig a szervezet vezetőjeként a jegyzőt kell figyelembe venni.
A kötelezettség teljesítéséhez nem elegendő bármilyen kiberbiztonsági tanfolyam. A képzőnek és a képzési programnak meg kell felelnie a 17/2025. EM rendelet és a felnőttképzési szabályozás követelményeinek, a teljesítést pedig megfelelő tanúsítvánnyal kell igazolni.
A szervezetnek ezért három kérdést érdemes mielőbb tisztáznia: érinti-e a Kiberbiztonsági törvény, ki minősül a szervezet vezetőjének, és mikor jár le az érintett vezető képzési határideje.
A vezetőképzés megfelelő teljesítése nem csupán egy tanúsítvány megszerzését jelenti. Annak a vezetői felelősségnek a része, amelyre a NIS2 és a magyar Kiberbiztonsági törvény teljes kiberbiztonsági irányítási rendszere épül.
A Tervio támogatást nyújt a Kiberbiztonsági törvény szerinti érintettség vizsgálatában, a vezetői és EIBF-kötelezettségek azonosításában, a teljesítési határidők meghatározásában, valamint annak ellenőrzésében, hogy a kiválasztott képzés és az azt igazoló dokumentáció megfelel-e a vonatkozó jogszabályi követelményeknek.
Utolsó szakmai felülvizsgálat: 2026. augusztus
A cikk elkészítése során generatív mesterséges intelligenciát is használtunk kutatási, rendszerezési és szövegalkotási támogatásként. A közzétett tartalmat emberi szakmai szerkesztésnek és ellenőrzésnek vetettük alá; annak végleges szövegét a Tervio Kft. szakértője felülvizsgálta és jóváhagyta. A cikk tartalmáért és közzétételéért a Tervio Kft. szerkesztői felelősséget vállal.
