A kibervédelem nem hackerek elleni védelem – hanem a következő cégeladási vételárának 20%-a

Ez a cikk azoknak az 5–150 fős KKV-tulajdonosoknak szól, akik a következő 1–5 évben utódlásra, családon belüli átadásra vagy cégeladásra készülnek, és nem szeretnék, hogy a vételárat egy IT-szempontból elhanyagolt eszközpark vagy egy hiányos szabályzati keret eltüntesse. Az időzítés nem véletlen: a magyar kiberbiztonsági törvény 2025. január 3-án hatályba lépett, a NIS2 irányelv 2024 októberi átültetési határideje után a hazai szabályozói és piaci elvárások mára összeértek. A nem megfelelő szervezetekre akár 10 millió eurós vagy az éves globális árbevétel 2%-ának megfelelő bírság is kiszabható.

A tézis egyetlen mondatban: a kiberhigiénia nem IT-kiadás, hanem cégérték-tétel – és exit előtt 3 hónappal már nem építhető fel, csak a vételárból fizethető meg.

1. Mit néz egy cégfelvásárló ügyvédje, amikor „kibervédelmet” mond – és miért nem az, amit Ön gondol

A kibervédelem nem szűken vett hacker-elhárítás, hanem üzletmenet- és tőkevédelem. Annak a mechanizmus-, szabályzat- és tudásrendszernek az összessége, amely a vállalat know-how-ját, információit és piaci előnyét megőrzi. A különbség nem szemantika: a hatókör bővítése az, ami eldönti, hogy az adott cég érett-e az exitre vagy sem.

Egy M&A vevői oldali átvilágítás során az ügyvéd nem azt nézi, hogy van-e malware-szűrő szoftvere a könyvelésnek. Inkább arra fókuszál, hogy:

• van-e írásban rögzített hozzáférés-kezelési szabályzat, és ki milyen jogosultsággal rendelkezik;
• a beszállítói és ügyfél-szerződésekben szerepel-e kiberbiztonsági záradék (audit-jog, incidensbejelentési kötelezettség, kárfelelősség);
• a munkavállalói szerződésekben és belső szabályzatokban van-e nyoma rendszeres kiberbiztonsági oktatásnak;
• a szoftverpark licencei naprakészek-e, a kritikus rendszerek frissítettsége dokumentált-e;
• történt-e incidens, és ha igen, bejelentették-e és dokumentáltan kezelték-e azt.

Ezek nem szakmai különlegességek – ezek azok a kérdések, amelyekből a vevő ügyvédje konkrét vételár-csökkentési javaslatot állít össze az investment committee elé. A nemzetközi szakmai gyakorlat szerint egy due diligence-i incidens vagy súlyos hiányosság a vételár 15–30%-át tudja egyik napról a másikra elvinni, sőt akár a teljes ügyletet megakaszthatja. A Yahoo–Verizon ügyletben ez konkrétan 350 millió dolláros vételár-csökkentést jelentett, amikor a vevő a due diligence során felfedezte a célcég nyilvánosságra nem hozott adatvédelmi incidenseit.

Mit kell tennie ezután: kérje el a saját jogi vagy könyvelő tanácsadójától azt a 3 dokumentumot, amit a fenti felsorolás első három pontja említ. Ha bármelyik hiányzik vagy 12 hónapnál régebbi, az exit-érettsége nem azon a szinten áll, ahol gondolja.

2. A kiberbiztonsági törvény Önt közvetlenül nem érinti – mégis Önön fog megbukni

A 2024. évi LXIX. törvény Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény 2025. január 3-tól hatályos, és a NIS2 irányelv magyar átültetését valósítja meg. A NIS2-re kötelezett szervezetek első kiberbiztonsági auditját 2025. december 31-ig kellett elvégeztetni. A bírság-keret nem véletlen: alapvető szervezetek esetén legalább 10 millió EUR vagy az éves globális forgalom 2%-a, fontos szervezetek esetén 7 millió EUR vagy a forgalom 1,4%-a a minimum szankció.

Itt jön a kulcs, amit a magyar középvállalati tulajdonosok 90%-a félreért: a szabályozás Önt meg lehet, hogy közvetlenül érinti – különösen, ha középvállalkozási küszöböt elérő gyártó, energetikai, egészségügyi, közlekedési, digitális infrastruktúra-szolgáltató vagy a 2. és 3. mellékletben felsorolt egyéb szektorban tevékenykedik. A törvény hatálya alá azok a többségi állami befolyás alatt álló gazdálkodó szervezetek tartoznak, amelyek foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget, plusz a mellékletekben szereplő szektorok középvállalkozásai.

Ha Ön egy 25 fős gyártó vagy egy 18 fős kereskedelmi cég, jó eséllyel nem kerül a törvény közvetlen hatálya alá. De – és ez az a „de” az, ami a vételárát fogja eltüntetni:

Ön azoknak a cégeknek a beszállítója vagy ügyfele, akiket a szabályozás érinti. Egy NIS2-érintett nagyvállalati vevő 2026-tól szerződésben fogja előírni a beszállítójának a kiberbiztonsági minimumkövetelményeket, és a NIS2 alapján az ügyvezetés felelőssé tehető a teljes beszállítói lánc kiberbiztonsági megfelelőségéért is. Ennek nyoma a beszállítói szerződésében auditjogban, incidensjelentési kötelezettségben és kárfelelősségben jelenik meg. Az M&A vevőnek elég ezt a szerződést megnéznie, és vagy Ön teljesíti a klauzulát – vagy a vételárból fizeti meg a megfelelés költségét.

A pénzügyi szektorral dolgozó IT-beszállítóknál ugyanez a logika a DORA rendelet értelmében is fennáll: a 2022/2554 (EU) rendelet 2025. január 17-től teljes mértékben alkalmazandó, EU-rendeletként közvetlenül, nemzeti átültető jogszabályok nélkül. Aki bank, biztosító vagy pénzforgalmi szolgáltató beszállítója – akár csak könyvelőprogram-licencet ad el nekik –, az 2026-ban már a DORA-megfelelési láncolat része.

Mit kell tennie ezután: nézze át a 3 legnagyobb vevője vagy beszállítója felé érvényben lévő keretszerződését. Ha bármelyik tartalmaz „információbiztonsági”, „kiberbiztonsági” vagy „ICT-kockázatkezelési” záradékot – Ön már most a NIS2/DORA-lánc része, csak még nem tudja.

3. Az „5 fős küszöb” – olyan technikai tétel, ami eldönti a következő 3 évét

Egy konkrét hüvelykujjszabály: 5 munkatárs felett a kiberhigiénia már nem opció. Ennek nem az állam szabta küszöb az oka, hanem a működési komplexitás: 5 munkavállalótól kezdve valós a hozzáférés-kezelési kockázat, az ügyfél-adatok belső megosztása, a beszállítói digitális együttműködés, és – a legritkábban emlegetett pont – a felmondott munkavállaló adatelviteli kockázata.

A számok nem szépítenek: a Verizon 2022-es kibervédelmi jelentése szerint az incidensek 82%-a emberi hibára vezethető vissza, mert a munkavállalók nincsenek tisztában a minimális kiberbiztonsági lépésekkel. A magyar adatok ezt erősítik: a 2024-es statisztikák szerint Magyarországon 40%-kal nőtt a kibertámadások száma az előző évhez képest, és a magyar KKV-szektort elsősorban adathalász- és ransomware-támadásokkal célozzák, mert a kisebb cégeknek általában kevesebb erőforrásuk van a kibervédekezésre.

A piaci verseny szempontjából Magyarország még nehezebb pályán játszik: a magyar KKV-knak mindössze 22,24%-a rendelkezik magas vagy nagyon magas szintű digitális intenzitással, szemben az EU 32,66%-os átlagával. Ez a 10 százalékpontos olló az, amit egy nyugati vevő vagy egy bécsi partner azonnal lát – és azonnal beáraz.

A podcast egy konkrét ügyfélpéldát is hozott: egy magyar tervezőiroda, amely napi szinten informatikai eszközökkel dolgozott, mégsem rendelkezett strukturált belső kontrollkörnyezettel. A munkavállalói nem tudták hatékonyan használni a szoftvereket, a hozzáférés-kezelés ad-hoc volt, a beléptetés szabályzati háttere hiányos. Egy nemzetközi partner felé történő nyitás ezen a ponton hetekkel-hónapokkal csúszhat – vagy soha nem zárul le.

Mit kell tennie ezután: ha legalább 5 alkalmazottja van, állítsa össze a következő listát: ki, milyen rendszerhez, milyen jogosultsággal fér hozzá, és mi történik a hozzáférésével, ha holnap kilép. Ha ezt a listát most nem tudja összeállítani, az a kiberhigiéniai vakfoltja – és pontosan ez az, amin az M&A vevő ügyvédje 30 perc alatt áthajt.

4. A 4 dimenzió, amelyen a vételár eltűnik – vagy felépül

A kiberhigiénia egy olyan komplex állapot, amelyben négy egymástól független, de együttesen ható dimenzió egész biztosan szerepet játszik. Egyik sem helyettesíthető a másikkal, és egyik sem építhető fel utolsó 90 napban.

Szabályzati keret. Belső információbiztonsági szabályzat, hozzáférés-kezelési szabályzat, incidenskezelési rend, BYOD-szabályzat, beszállítói minimumkövetelmények és dokumentumok összessége. Ezek hiánya nemcsak jogi hiányosság – ezek hiánya a due diligence-i checklisten „missing” jelölés. Ha a vevő például a 20 standard kérdésből 12-re nem kap dokumentum-szintű bizonyítékot, a vételár-tárgyalás indulóajánlata 15–20%-kal alacsonyabbról kezdődhet.

Eszközpark-naprakészség. Operációs rendszer, irodai szoftverek, üzleti alkalmazások licencei és verziói. A magyar KKV-k digitális érettségi indexe 12-es skálán mérve mutatja, hogy a hazai vállalkozások jelentős része a 4 pontos minimumot sem éri el. Egy elavult Windows-verzió nem csak biztonsági kockázat – szerződésszegés is lehet a következménye, ha a szolgáltatói lánc egy NIS2 vagy DORA-érintett céghez csatlakozik.

Munkavállalói tudatosság. Azaz a kollégák rendszeres oktatása dokumentált formában. Ezt a vevő nem hiszi el e-mailek alapján; inkább jegyzőkönyvvel és aláírt jelenléti ívvel lehet bizonyítani. Egy 25 fős cégnél évi két oktatás minimum, plusz onboarding-elem új belépőknek az, ami a kellően biztos alapot alkotja. Ezt a kötelezettséget a Kiberbiztonsági törvény expressis verbis is rögzíti: rendszeres kiberbiztonsági oktatáson kell részt vennie a vezetőségnek és a munkavállalóknak egyaránt.

Beszállítói és ügyfél-szerződéses kontroll. Auditjog, incidensbejelentési határidő (legjobb gyakorlat 24–72 óra), kárfelelősségi sávok, adatkezelési protokollok (GDPR), exit-klauzula adat-visszaadási kötelezettséggel. Ha a 10 legnagyobb partnere felé nincs ilyen rendszer, a vevő ezt nem a „compliance” rovatba könyveli – a „vételárcsökkentő tételek” rovatba.

Mit kell tennie ezután: Nézze át a fenti négy dimenziót, és tegyen mindegyik mellé egy 0–10-es önértékelést. Ha az összpontszáma 20 alatt van, a következő 12 hónap nem opció, hanem kötelező ennek a felépítése.

Mi ennek a gyakorlati ára?

Vegyünk például egy 35 fős, 1,8 milliárd forint árbevételű, 280 millió forint EBITDA-jú gyártó középvállalatot, amely 3 év múlva eladni szeretné a cégét. Iparági szorzó 5–7× EBITDA – célzott vételár sávja 1,4–2,0 milliárd Ft.

Egy due diligence során a vevő szakértői kiberbiztonsági hiányosságok mentén kétféle vételár-korrekciót jeleznek. Az érdemi hiányosság (hiányos szabályzat + dokumentálatlan oktatás + nem auditált beszállítói kör) a nemzetközi szakmai tapasztalat szerint 15–20% közötti vételárcsökkentést jelent – ez ebben a sávban 210–400 millió forint elveszett vételár. Súlyos hiányosság (dokumentálatlan incidenstörténet + elavult kritikus szoftverpark + GDPR-vakfolt) 25–30% vételár-csökkentést, sőt teljes deal-megszakadást is okozhat.

A felépítés költsége ezzel szemben: A szabályzati keret kidolgozása 1,5–3 millió Ft egyszeri, IT-park frissítés (közepes méretű cégnél) 2–5 millió Ft, éves kiberhigiéniai retainer (jogi + IT együttműködésben) 1–2,5 millió Ft. A teljes 12 hónapos felépítés sávja 5–12 millió Ft – azaz a vételár-csökkentés sávjának 2–6%-a.

A számítás magától értetődő. Aki ezt az 5–12 millió forintot 12 hónappal a deal előtt nem költi el, az a 210–400 millióból fizeti meg ugyanezt, csak elveszett vételárként.

Megjegyzés: a fenti eset csupán példálózó jellegű; a vételár-csökkentési sávok nemzetközi M&A-szakmai gyakorlatot tükröznek; a magyar piacon a konkrét számokat a vevő ipara és a célcég szektora alapvetően befolyásolja. Az alábbi cselekvési listát és önauditot úgy állítottuk össze, hogy a saját helyzetére konkrét becslést kapjon.

3 lépés, amit a következő 7 napban tegyen meg

A következő 7 napban tegye meg az alábbi 3 lépést. Egyikhez sem kell ügyvéd, mindegyikhez Ön tud azonnal hozzákezdeni:

1. 15 perc: Töltse le és tegye le maga elé az 5 legnagyobb vevője és az 5 legnagyobb beszállítója felé érvényes keretszerződést. Húzza alá benne az „információbiztonság”, „adatkezelés”, „audit” és „kiberbiztonság” szavak előfordulásait. Ha bármelyik szerződésben szerepel — Ön már most a NIS2/DORA-megfelelési láncolat része. Kockázati kitettség: azonnali.
2. 1 óra: Készítsen táblázatot 4 oszloppal: munkavállaló neve | hozzáférés rendszeréhez | jogosultsági szint | utolsó hozzáférés-felülvizsgálat dátuma. Ha az utolsó oszlopot nem tudja kitölteni, az a kiberhigiénia alapjának hiánya, és ez az a pont, ahonnan az auditor elindul. Kockázati kitettség csökkentése: 30–40%.
3. 1 nap: Töltse ki a Kibervédelmi Exit-érettségi Önauditot, és értelmezze a pontszámát. Ez után tudja érdemben felhívni a jogi és IT-tanácsadóját — nem azzal, hogy „kell valami kiberbiztonság”, hanem azzal, hogy „ezekben a dimenziókban ezekkel a pontszámokkal állok, mit építsünk először”.

Gyakran ismételt kérdések

Engem a 2024. évi LXIX. törvény közvetlenül érint?

A törvény hatálya alá elsősorban azok a középvállalkozások (és afölötti méretű szervezetek) tartoznak, amelyek a törvény 2. és 3. mellékletében felsorolt szektorokban tevékenykednek (pl. energetika, közlekedés, banki szektor, egészségügy, digitális infrastruktúra, élelmiszer-előállítás, gyártás, közüzem és további szektorok). A küszöbértékek között szerepel a legalább 50 fős létszám vagy a 10 millió eurót meghaladó éves nettó árbevétel. Pontos kategorizáláshoz a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) közzétett ellenőrző listáját, vagy egy szakértő jogi-IT véleményt érdemes kérni – a 2026. áprilisi állapot szerint.

Mennyibe kerül egy minimum kiberhigiéniai keretrendszer felépítése egy 30 fős cégnél 2026-ban?

A teljes 12 hónapos felépítés piaci sávja irányadólag 5 millió Ft körül mozog, attól függően, hogy mennyi belső kapacitás bevonható, milyen az iparág szabályozási sűrűsége (gyártó, kereskedő, szolgáltató), és milyen szintű külső IT-tanácsadó dolgozik a jogi tanácsadó mellett. Ez egy folyamatos retainer típusú struktúrában havonta néhány százezer Ft/hó között értelmezhető, ami exit-előkészületi szempontból nem kiadás, hanem vételár-védő befektetés.

Mi a különbség a kiberbiztonsági audit és a kibervédelmi átvilágítás között?

Az audit a 2024. évi LXIX. törvény szerinti, jogszabály által előírt eljárás a törvény hatálya alá tartozó szervezeteknek, melynek célja a megfelelőség ellenőrzése. A kiberbiztonsági audit díját az 1/2025. (I. 31.) SZTFH rendelet határozza meg, melynek alapja egy 1 750 000 forintos maximális alapdíj, szorzószámokkal módosítva a szervezet árbevétele, elektronikus információs rendszerek száma és biztonsági osztálya szerint. A kibervédelmi átvilágítás ezzel szemben egy M&A-folyamat része, célja a vételár-kockázatok feltárása – ezt a vevő ügyvédje végzi (vagy végezteti), és nem hatósági, hanem szerződéses kontextusban.

Beszállítóként mit kell tennem 2026-ban?

Először nézze meg, érintett-e bármelyik fő vevője a NIS2 vagy DORA hatálya alatt. Ha igen, kérje el a kiberbiztonsági mellékletet a szerződéseiből (gyakran csak 2026-tól iktatják be), és tervezzen 6–9 hónapos felkészülési időt arra, hogy a követelményeket teljesíteni tudja. Az audit-jog, az incidensbejelentési kötelezettség (általában 24–72 óra) és a többszintű hozzáférés-kezelés a leggyakoribb minimumelem.