Die NIS2-Richtlinie der EU wurde in Ungarn durch das Gesetz LXIX von 2024 umgesetzt, in Kraft seit dem 1. Januar 2025. Die Regelung betrifft Tausende in Ungarn tätige Unternehmen (auch ausländisch geführte Produktions- und Dienstleistungsbetriebe), doch viele setzen sich erst damit auseinander, wenn ein Auftraggeber auditierte Compliance verlangt oder das Schreiben der Behörde eintrifft.

Wer ist betroffen?

Das Gesetz gilt für Organisationen in risikobehafteten und hochriskanten Sektoren, unter anderem Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, Fertigung und Lebensmittelindustrie. Wichtig: Betroffen sind nicht allein Großunternehmen, sondern in der Regel auch Mittelständler mit über 50 Mitarbeitern oder mehr als 10 Millionen Euro Umsatz.

Ihr Unternehmen kann auch als „bloßer“ Zulieferer betroffen sein: NIS2 verlangt ausdrücklich das Management von Cybersicherheitsrisiken in der Lieferkette, und Auftraggeber machen auditierte Compliance zunehmend zur Vertragsbedingung.

Die wichtigsten Pflichten

  • Registrierung bei der Aufsichtsbehörde und Benennung eines Informationssicherheitsbeauftragten
  • Sicherheitseinstufung und Umsetzung der zugehörigen Schutzmaßnahmen
  • Vertrag mit einem Auditor binnen 120 Tagen nach der Registrierung
  • Pflicht-Cybersicherheitsaudit, Wiederholung alle zwei Jahre
  • Meldung von Vorfällen innerhalb gesetzlicher Fristen: Frühwarnung binnen 24 Stunden ist Pflicht
  • Management und Dokumentation der Cybersicherheitsrisiken in der Lieferkette

Die erste Auditfrist ist bereits abgelaufen

Betroffene Organisationen, die ihre Tätigkeit vor dem 1. Januar 2025 aufgenommen haben, mussten ihr erstes Cybersicherheitsaudit bis zum 30. Juni 2026 abschließen. Nach Angaben der Aufsichtsbehörde SZTFH hat der Großteil der über 2.500 betroffenen Organisationen die Frist eingehalten. Säumige müssen dagegen mit einer Verwarnung und anschließend mit einem Bußgeld rechnen. Wer im Rückstand ist, sollte jetzt so schnell wie möglich nachholen: Ein vor der behördlichen Kontrolle geschlossener Auditorvertrag und eine begonnene Vorbereitung senken das Sanktionsrisiko erheblich.

Was steht auf dem Spiel?

Nach den ungarischen Regeln kann das Bußgeld für Versäumnisse (sei es die fehlende Registrierung oder das ausgebliebene Audit) bis zu 2 % des Nettoumsatzes des Vorjahres betragen, höchstens jedoch 150 Millionen Forint (rund 380.000 Euro). Und für viele überraschend: Die Haftung ist auch persönlich, denn ein Geschäftsführer kann bei wiederholten Verstößen bis zu 5 Jahre von Leitungsfunktionen ausgeschlossen werden.

Die sechs Schritte der Vorbereitung

  1. Betroffenheit und EIS-Identifikation: Sektor und Größe entscheiden schnell, ob das Gesetz für Sie gilt und welche elektronischen Informationssysteme darunterfallen.
  2. GAP-Analyse: Wo steht die Organisation im Vergleich zu den Anforderungen ihrer Sicherheitsklasse, und wie groß ist die Lücke?
  3. Schutzmaßnahmen und Richtlinien: Einführung der Kontrollen nach einem terminierten Maßnahmenplan: Informationssicherheitsrichtlinie, Notfallplan, Lieferantenrisikomanagement.
  4. Security-Awareness-Schulung: Ein Großteil der Anforderungen hängt an den Menschen; die Schulung ist auch dokumentiert nachzuweisen.
  5. Pre-Audit: die Generalprobe des echten Audits mit denselben Fragen, aber ohne Konsequenzen, damit es beim eigentlichen Audit keine Überraschungen gibt.
  6. Audit: durchgeführt von einem registrierten Auditor, Wiederholung alle zwei Jahre.

Der Cybersicherheits-Schnellcheck von Zenit liefert innerhalb weniger Tage ein umfassendes Bild Ihres Vorbereitungsstands, und unsere NIS2-zertifizierten Experten begleiten die gesamte Vorbereitung, von der Einstufung bis zur Unterstützung Ihrer behördlichen Registrierung. Zu unseren Referenzen zählt kritische Infrastruktur: Wir haben NIS2-Vorbereitung und Audits in ungarischen Kraftwerken durchgeführt.

Nicht sicher, ob Ihr Unternehmen betroffen ist?

Wir klären es in einem kurzen Gespräch, kostenlos und unverbindlich.

Schnellcheck anfordern