IT compliance az M&A átvilágításnál: a néma deal-breaker a tárgyalóasztalon

Ez a cikk azoknak az ügyvezetőknek, CFO-knak és alapítóknak szól, akik a következő 12–24 hónapban M&A-tranzakciót terveznek — vevőként, eladóként vagy potenciális target vállalati szerepben. A pénzügyi szektor digitális működési rezilienciájáról szóló (EU) 2022/2554 rendelet (azaz a DORA rendelet) 2025. január 17. óta kötelezően alkalmazandó, és 2025. január 1-jétől a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (Kiberbiztonsági törvény) implementálta Magyarországon az uniós NIS2 irányelvet, leváltva a korábbi 2023. évi XXIII. törvényt. Aki ezt a két szabályrendszert – a cégfelvásárlás kiberbiztonsági kockázatait – egy M&A-folyamat 3. hetében, az adatszobában fedezi fel a célvállalatnál, már elveszítette az alkupozícióját. [EUR-Lex] [KPMG]

A tézis egyszerű: az IT compliance ma már nem az adatvédelem kiterjesztése, hanem a klasszikus jogi és pénzügyi due diligence mellett önálló munkafolyamat – egy teljes értékű IT due diligence az M&A átvilágításban — és nemzetközi felmérések szerint a vevők közel háromnegyede azonnal hátralép, ha bejelentés nélküli kiberbiztonsági incidenst vagy compliance-vakfoltot talál a célvállalatnál.

A következőkben négy rétegben bontjuk szét, mit néz a felkészült vevő, mit hoz a 2026-os szabályozási környezet, és milyen forgatókönyvek állnak rendelkezésre, ha hiányt talál.

1. GDPR ≠ IT compliance az M&A átvilágításban — két fogalom, két rendszer

A leggyakoribb pre-deal tévedés, amivel a tanácsadói munkánkban találkozunk, hogy a célvállalat az aláírt adatkezelési tájékoztatóját és belső GDPR-szabályzatát „IT compliance-csomagként” prezentálja a vevőnek. Ez nem rossz szándék – ez fogalmi keveredés.

A STRUKTÚRA podcast adásában kollégánk pontosan elhatárolta a két fogalmat: az IT-biztonság egy statikus checklist, amelyet főként technikai megoldásokkal lehet teljesíteni; az IT compliance ezzel szemben látásmód és tudatos struktúra.

A 2018-as GDPR (2016/679/EU rendelet) hullám óta az adatvédelmi tudatosság beérett a magyar piacon is. De az IT compliance ennek csak egy részhalmaza. A teljes körű IT compliance legalább nyolc alterületet ölel fel:

• adatvédelem (GDPR, adatvédelmi ajánlások);
• hálózati és információs rendszerek biztonsága (NIS2 / Kiberbiztonsági törvény);
• pénzügyi szektor digitális rezilienciája (DORA, (EU) 2022/2554);
• incidens-protokoll, üzleti folytonosság és helyreállítási terv;
• harmadik fél IKT-szolgáltatókkal (felhő- és SaaS szolgáltatók) kötött szerződések;
• beszállítói lánc kibervédelmi szintje;
• dokumentációs felkészültség (szabályzatok, audit-jegyzőkönyvek, tanúsítványok, sérülékenység-vizsgálati eredmények);
• szervezeti érettség (információbiztonsági felelős kijelölése, hozzáférési mátrix, képzés, leaver-procedúra).

Ha a célvállalat azzal kezd, hogy a cég abszolút „GDPR-kompatibilis” és így készül a vevővel való tárgyalásra, az önmagában a fenti másik hét területről nem mond semmit. A következő 7 napban érdemes egy fél órát rászánni — vegye elő a saját cége legutóbbi belső auditját, és nézze meg, hány terület van benne dokumentálva. Ha csak egy: a vevője 73%-os valószínűséggel fog hátralépni vagy árcsökkentést kérni.

2. IT due diligence vevői oldalról: mit néz a felkészült vevő az adatszobában – négy réteg

Egy professzionális vevői IT due diligence (DD) négy elkülönült rétegben dolgozik az adatszobában (VDR — Virtual Data Room).

Dokumentációs réteg. Elsődleges a belső IT-biztonsági szabályzat valamint az adatkezelési tájékoztató, továbbá webshopnál vagy online értékesítésnél az ÁSZF megléte. Nem lehet megfeledkezni ugyanakkor az incidens-naplók, audit-jegyzőkönyvek, korábbi sérülékenység-vizsgálatok eredményeiről és a képzési naplókról sem. A vevő itt nem a dokumentum meglétét nézi, hanem azt, hogy van-e logikai konzisztencia a szabályzatok és a tényleges működés között. Egy szabályzat, amit három éve írtak alá és azóta egyszer sem hivatkoztak rá, pusztán csak egy üres papír.

Technológiai réteg. Hálózati architektúra-térkép, hozzáférési kontrollok (RBAC), log-rendszerek, mentési stratégia, titkosítási megoldások, monitoring-eszközök, sérülékenység-management folyamat. Ez nem jogi terület, viszont a jogi DD munkacsoport feladata a technológiai DD csapat eredményeit jogi következményekké formálni: ha hiányos helyzet áll fenn, ahhoz mekkora kockázati tartalék vagy más fedezet szükséges.

Szerződéses réteg. A vevő itt látja meg legtisztábban a célvállalat „digitális ellátási láncát”. A magyar Kiberbiztonsági törvény és a NIS2 irányelv egyik leglényegesebb újdonsága, hogy az érintett szervezeteknek nemcsak saját digitális infrastruktúrájuk, hanem a velük kapcsolatban álló digitális ellátási lánc magas szintű védelmét is biztosítania kell, tehát a beszállítók felé is meg kell követelni a megfelelő kibervédelmi szintet. Ez azt jelenti, hogy a vevő a felhő- és SaaS-szerződéseket, az SLA-kat, az audit-záradékokat és a beszállítói NDA-ket egy az egyben át tudja vizsgálni. Egy hiányzó audit-záradék itt nem formális kérdés: az M&A closing után a vevő nem tudja a partnerre hárítani a következményeket, ha hatósági ellenőrzés jön.

Szervezeti réteg. A Kiberbiztonsági törvény és a NIS2 explicite előírja az információbiztonsági felelős (IBF) kijelölését – ilyen pozíció M&A átvilágításban a vevői oldalról nézve is kötelező ellenőrzési pont. Ez a dedikált szakember lesz azon kulcsszereplő, aki összefogja és koordinálja a cég IT megfelelőségét – és ennek tehát jogi oldala is számottevő.

A négy réteg közül bármelyik komoly hiánya számos vevői reakciót válthat ki: ár-csökkentési követelést, a closing deal 3–6 hónapos elhúzódását, ad absurdum elállást. Nemzetközi felmérések szerint a kiberbiztonsági problémák az M&A dealek 62%-át késleltetik, és a dealmakerek 73%-a elállna a tranzakciótól, ha bejelentés nélküli kiberbiztonsági incidenst vagy hiányosságot fedezne fel. [Centri Consulting]

A következő héten érdemes a fenti négy rétegre egyenként rákérdeznie a saját IT-vezetőjénél: tudja-e 30 perc alatt mind a négyet egy-egy oldalas összefoglalóban prezentálni egy hipotetikus vevőnek. Ha bármelyikre „még össze kell szednünk” a válasz, a tudatos vevő el fogja veszíteni az érdeklődését.

3. 2026 a tárgyalóasztalon: DORA rendelet, NIS2 és a 2024. évi LXIX. törvény az M&A átvilágításban

A három jogszabályi referencia ma már szervezeti minimum egy magyar M&A-tárgyalásnál — különösen, ha a célvállalat 50 fő feletti vagy 10 millió euró feletti éves nettó árbevétellel működik.

DORA — (EU) 2022/2554 rendelet. A pénzügyi ágazat digitális működési rezilienciájáról szóló rendeletet már 2025. január 17-től kell alkalmazni szerte Európában. A rendelet a pénzügyi szektor cégeit és azok IKT-szolgáltatóit szabályozza és védi, valamint részletes előírásokat fogalmaz meg az IKT-kockázatok kezelésére, az incidensek bejelentésére, a harmadik fél IKT-szolgáltatók kezelésére és a fenyegetésalapú betörési tesztek (TLPT) keretrendszerére. Ha a célvállalat pénzügyi szolgáltató vagy ilyen szereplő IT-beszállítója, a DORA-megfelelés a deal előfeltétele. [EUR-Lex] [MNB]

NIS2 — (EU) 2022/2555 irányelv és magyar implementáció. A NIS2 irányelvet Magyarországon a 2025. január 1-jétől hatályos Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény ültette át a magyar jogba, leváltva a korábbi 2023. évi XXIII. törvényt (Kibertantv.). További végrehajtási szabályokat tartalmaz a 418/2024. (XII. 23.) Korm. rendelet. Hazánkban várhatóan több mint 3500 közép- és nagyvállalat, illetve szervezet tartozik a hatály alá, 50 fő feletti alkalmazotti létszámmal vagy legalább 10 millió € éves árbevétellel működő, a törvényben felsorolt szektorokban tevékenykedő cégek. [KPMG]

A „kiemelten kritikus” ágazatok és „egyéb kritikus” ágazatok között szerepel az energetika (villamos energia, távfűtés és hűtés, kőolaj, gáz, hidrogén), a közlekedés (légi, vízi, vasúti, közúti, tömegközlekedés), valamint a gyártás területén az orvostechnikai eszközök és más specifikus iparágak — emellett az egészségügy, az élelmiszeripar, az ivóvízellátás, a digitális infrastruktúra, az ICT-szolgáltatások és a digitális szolgáltatók (DNS-szolgáltatók is). [Nador] [Isoszakerto]

Mit jelent ez egy M&A-helyzetben? Ha a célvállalat ezekben a szektorokban működik, a vevő ma már nemcsak cégrészesedést vásárol, hanem alanyi jogi-megfelelési kitettséget is. Az alapvető szervezetnek minősülő céget 10 millió euró vagy a globális éves forgalom 2%-ának megfelelő bírság sújthatja, fontos szervezet esetén ez a határ 7 millió euró vagy 1,4%. [KPMG]

Konkrét határidő, amit az SPA (Share Purchase Agreement) tárgyalásokon nem lehet figyelmen kívül hagyni: a 2025. január 1. előtt működő, érintett szervezeteknek 2026. június 30-ig kellett elvégeztetniük az első kötelező kiberbiztonsági auditot – ezt minden M&A átvilágításnál ellenőrizni kell. Aki tehát 2026. első felében vásárolt egy-egy érintett társaságot és az auditot a célvállalat nem végeztette el, potenciálisan hatósági szankcióval örökli meg a céget. [KPMG]

Mit tegyen ennek fényében? Az M&A-folyamat indítása előtt 60 perc szakértői beszélgetés tisztázza: a célvállalat NIS2 hatálya alá tartozik-e, kérelmezte-e már a nyilvántartásba vételt az SZTFH-nál, és van-e érvényes szerződése akkreditált auditorral.

4. „Majd a vevő megoldja” vagy „majd az eladó” — három forgatókönyv, ha hiány van

Az IT compliance terén a leggyakoribb piaci mítosz, hogy „majd megoldják a szakértők”. Kollégánk szerint ugyan ez végső soron lehetséges, de nehezen, költségesen, hosszú idő után — vagyis pont a deal időablakán kívül.

Három forgatókönyv között választhat egy vevő, ha az IT due diligence során lényeges hiányt talál.

Forgatókönyv 1: Post-closing integráció. A vevő megveszi a céget a feltárt hiányokkal együtt, az integrációs költséget a vételárból csökkenti. Hátrány: a post-merger integrációs fázisban a kiberbiztonsági protokollok harmonizálását a felmért szervezetek 84%-a jelölte meg kihívásként. A gyakorlatban ez 3–12 hónap plusz integrációs idő, ami a szinergiák realizálását elhúzza. [FTI]

Forgatókönyv 2: Pre-deal remediáció az eladó által. A célvállalat néhány hónappal de akár pár évvel is a tervezett tranzakció előtt értékeli és rendbe rakja az IT compliance felkészültségét. Ez az ideális, ámde időigényes út. Akinek ugyanis a jelenleg is kimunkálás alatt álló deal 2026. második felében zár, azon cégeknek a 2. forgatókönyvnek az ablaka most lezárul.

Forgatókönyv 3: Closing condition + signing-to-closing remediáció. A vevő szerződésben kötelezi az eladót meghatározott remediációra a closing előtt; így tehát reverse break fee és specifikus warrant-csomag biztosítja a vevő érdekét. Ez a leggyakrabban választott útvonal a magyar M&A-piacon olyan ügyleteknél, ahol a deal valuation jelentős és a hiány körülírható.

A vevő nézőpontjából a harmadik opció dominál — feltéve, hogy az eladói oldal hajlandó és képes a remediációra a closing időablakában vagy azelőtt. Ha nem, a deal vagy valuation-szinten elmegy 7–12%-kal lefelé (a nemzetközi iparági kutatások szerint a kiberincidensek átlagosan 7–12%-kal csökkentik a deal valuationt, magas profilú, kiterjedt kibertámadások pedig teljes deal-elálláshoz vezetnek), vagy a vevő egyszerűen továbblép. [Cyooda Security]

Mi ennek a gyakorlati ára?

Számokban a vevői oldal kitettsége a következőképpen alakul egyes nemzetközi felmérések adatai szerint:

• 73% — bejelentés nélküli kiberbiztonsági incidens azonnali deal-breaker a vevői döntéshozók szerint (Forescout/Infosys felmérés).
• 53% — a vevők ekkora arányban találtak az M&A due diligence során olyan kritikus IT compliance vagy kiberbiztonsági problémát, amely a dealt veszélyeztette.
• 62% — a kiberbiztonsági problémák ekkora arányban késleltetik a dealt (Centri Consulting, 2024).
• 7–12% — az átlagos deal valuation-csökkenés kiber-incidens vagy compliance-hiba nyomán.
• 84% — a vevők ekkora arányban jelentik problémának a post-closing IT-rendszerek harmonizálását.

A tapasztalatunk szerint a KKE-régióban ezek az arányok a nemzetközi felmérésekhez hasonló nagyságrendben mozognak.

A következő 7 napban tegye meg ezt a három lépést

1. 15 perc — Hatály-ellenőrzés. Ellenőrizze a Kiberbiztonsági törvény alapján: az Ön cégének (vagy a következő target cégnek) fő- vagy melléktevékenysége szerepel-e a felsorolt szektorok között, és cégmérete eléri-e az 50 fős vagy 10 millió eurós küszöböt. Ha igen, és még nincs SZTFH-nyilvántartásba vétele: e hiány már most kockázatos.
2. 1 óra — IT compliance state-of-play tábla. Készítsen egy egyoldalas, 4-soros táblázatot. Sorok: dokumentációs / technológiai / szerződéses / szervezeti réteg. Oszlopok: „mi van”, „mi hiányzik”, „mikorra állítható helyre”. Ezt küldje el az IT-vezetőjének, és kérje 5 munkanapon belül kitöltve. A táblázat hiányai a vevő hiánytérképévé válnak — vagy az Önévé, amíg helyrerakja.
3. 1 nap — Pre-deal stratégiai session. Foglaljon 60 perces strukturált beszélgetést szakértői partnerrel, amelynek napirendje: (a) NIS2 / Kiberbiztonsági törvény hatály-státusz; (b) DORA-érintettség (pénzügyi szektor vagy IT-beszállítói pozíció esetén); (c) gap-analízis elvégzése a jelenlegi helyzete alapján; (d) closing-hoz illeszkedő remediációs ütemterv.

Szerző: dr. Bajcsay Gergely ügyvéd