Az Európai Unió kiberbiztonsági irányelve, a NIS2 szigorú informatikai védelmi kötelezettségeket ír elő a hazai élelmiszeripari és mezőgazdasági vállalatok számára. Mivel az élelmiszerlánc kritikus ágazatnak számít, az érintett gazdaságoknak átfogó kockázatkezelési intézkedéseket kell alkalmazniuk automatizált rendszereik védelmében, az esetleges támadásokat haladéktalanul jelenteniük kell, felkészültségüket pedig rendszeres auditokkal kell bizonyítaniuk.

A kicsiket kivéve mindenki érintett

A hazai jogszabályok alapján a kiberbiztonsági előírások azokra az állattartó és élelmiszeripari közép- és nagyvállalatokra vonatkoznak, amelyek legalább 50 munkavállalót foglalkoztatnak, vagy éves árbevételük, illetve mérlegfőösszegük meghaladja a 10 millió eurót. Ebből kiderül az is, hogy lényegében csak a kis- és mikrovállalkozások maradnak ki, már közepes szinttől él a kötelezettség a cégek esetében.

A Nemzeti Élelmiszerlánc-biztonsági Hivatal (Nébih) útmutatója egyértelművé teszi, hogy az élelmiszer-termelés – beleértve a hús-, tej- vagy tojástermelésre szakosodott állattartást is – teljes mértékben a szabályozott körbe tartozik.

Vannak sérülékeny pontok

A szigorítás mögött az áll, hogy a modern agrárcégek, élelmiszertermelők és állattartó telepek napjainkra nagymértékben automatizálttá váltak. A digitális fejőgépek, az önműködő takarmányozási rendszerek és az okoseszközökkel vezérelt klímaberendezések elleni esetleges kibertámadások nemcsak a termelést béníthatják meg, hanem tömeges állatpusztuláshoz és az élelmiszer-ellátás súlyos fennakadásához is vezethetnek, de hasonló mértékű zavarokat okozhatnak az élelmiszeripari cégek elleni akciók is.

Ennek megelőzése érdekében a kötelezett vállalatoknak folyamatosan fel kell mérniük a kockázatokat, és megfelelő védelmi eszközökkel – például tűzfalakkal és biztonságos beléptetőrendszerekkel – kell ellátniuk informatikai hálózataikat. Amennyiben a működést veszélyeztető kibertámadás vagy informatikai leállás történik, azt szigorú határidőn belül jelenteniük kell az illetékes hatóságnak. A cégeknek független kiberbiztonsági auditok során kell igazolniuk rendszereik ellenálló képességét a külső behatolásokkal szemben. A védelmi intézkedések megvalósításáért a felelősség közvetlenül a gazdaságok vezetőit terheli, akiknek kötelező a kapcsolódó képzéseken is részt venniük.

Drága és bonyolult

A szabályozás hazai alkalmazása azonban súlyos anyagi és adminisztratív terheket ró az agrárvállalkozásokra, amelynek a felkészülési és auditálási költségei már önmagukban is megközelíthetik a nyolc-tízmillió forintot.

Az érintettek helyzetét tovább nehezíti a határidők szorítása, valamint a jogbizonytalanság, mivel bizonyos mezőgazdasági alapanyag-termelők – például a nyerstej-előállítók – esetében sem egyértelmű, hogy ténylegesen a kötelezettek körébe tartoznak-e.

Egy érintett mezőgazdasági vállalkozás nevét elhallgatni kívánó képviselője arra hívta fel a figyelmet, hogy a szabályozás hatálya az agráriumban sokszor tisztázatlan. Bár a cégük kizárólag nyerstej-termeléssel foglalkozik, amelyet feldolgozás nélkül ad át egy partnernek, az élelmiszerláncban betöltött szerepére hivatkozva mégis értesítést kapott a Kiberbiztonsági Igazgatóságtól a nyilvántartásba vételről.

Milliós kiadás telepenként

Bár egy állattartó telepen az informatikai infrastruktúra kevésbé látványos, mint egy ipari vállalatnál, a kiberbiztonsági követelmények a termeléshez kapcsolódó digitális rendszereket is érintik. A tehenészetekben ma már számítógépes vezérlésű fejőrendszereket és digitális állomány-nyilvántartó programokat használnak, így az ellenőrzés nem korlátozódik az irodai számítógépekre, hanem a termelési folyamat informatikai elemeit is érinti. Amennyiben a vállalkozásnak eleget kell tennie az előírásoknak, a pénzügyi teher jelentős:

Maga az auditot megelőző felkészítés – amely magában foglalja az informatikai rendszerek felmérését, a dolgozók oktatását és mintegy ötven különböző biztonsági szabályzat kidolgozását – 3,9 és 5 millió forint közötti összeget emészt fel. Ehhez adódik hozzá a kétévente esedékes audit díja, amely a vállalkozás méretétől függően további mintegy 3,9 millió forintos tételt jelent. Ez a nagyjából 8 millió forintos induló költség azonban kizárólag a tanácsadást és az adminisztrációt fedezi. Ha a felmérés során kiderül, hogy a cégnek új tűzfalakra, szoftverekre vagy egyéb eszközökre van szüksége, azok beszerzését a vállalatnak saját forrásból kell finanszíroznia.

A megfelelés ráadásul folyamatos kiadásokkal jár, hiszen az előírt elektronikus információs rendszerek biztonságáért felelős (EIRBF) feladatok kiszervezése havi nettó 160–250 ezer forintba kerülhet, amit az árbevétel-arányos éves felügyeleti díj is kiegészít.

Inkább elbuknak, csak hogy időt nyerjenek

Az anyagi terhek mellett az időtényező jelenti a legnagyobb kihívást. A szóban forgó vállalkozás csak a múlt hónapban, 2026 augusztusában kapta meg a hatósági felhívást. A megfelelési és auditálási határidő 2026 vége, akkor a cégeknek mindössze néhány hónapjuk maradt a milliós informatikai beruházások, a felkészülés és a vizsgálat lebonyolítására. Mivel az auditorok kapacitása véges, a hatóságok pedig az eddigi tapasztalatok alapján elutasítják a határidő-hosszabbítási kérelmeket, a cégek könnyen kényszerpályára kerülhetnek.

Egyes szolgáltatók – természetesen bizalmasan - már úgynevezett gyorsított auditokat javasolnak, amelyek lényege, hogy a vállalat szándékosan megbukik az ellenőrzésen, így a hiánypótlásra kapott haladékkal lélegzetvételnyi időhöz jut. Ez a megoldás azonban a kötelező pótaudit miatt tovább növeli az amúgy is kiugróan magas költségeket. A felkészítő és auditáló cégek ugyanakkor kifejezetten jólértesültek a témában: az érintett tehenészeti telep éppen csak megkapta az értesítést, már másnap megkeresték őket ajánlattal.

Az agrárvállalkozások számára így jelenleg a legégetőbb probléma az, hogy a tisztázatlan jogi környezetben, rendkívül szűk határidővel kellene felkészülniük egy olyan milliós beruházásokat igénylő folyamatra, amelyről egyelőre azt sem tudják biztosan, hogy egyáltalán vonatkozik-e rájuk.

Szigorú és drága a magyar rendszer

Az Európai Unió kiberbiztonsági ellenálló képességét növelni hivatott NIS2 irányelvének hazai alkalmazása már tavaly megkezdődött az érintett vállalatok regisztrációjával. A hazai jogszabályi előírások azonban túlteljesítették az alapvető uniós elvárásokat, mivel a hatóságok korábban és szigorúbb feltételeket követeltek meg a cégektől, ami már a kezdetektől jelentős többletfeladatot rótt az üzleti szereplőkre – mondta el az Agrárszektornak Vörös Attila, a Felelős Élelmiszergyártók Szövetségének (FÉSZ) ügyvezető igazgatója. Hozzátette: a kezdeti nehézségeket súlyosbította, hogy az auditori kiválasztás erősen korlátozottan indult.

Ezen a téren 2026 júniusában mérföldkőhöz érkeztünk, amikor is esedékessé váltak az első auditok. Mivel ezt megelőzően történt némi enyhítés az auditorokra vonatkozó szabályokon és kiszélesítette az auditra jogosult cégek számát, az így bővülő kínálat élénkítheti a versenyt és mérsékelheti a költségeket. A pénzügyi teher azonban így is tetemes, hiszen az ellenőrzés díján felül a cégeknek felügyeleti díjat is fizetniük kell, ami a legnagyobb vállalatcsoportok esetében akár a 10 millió forintot is elérheti.

Már a felkészülés sem egyszerű

A sikeres audit eléréséhez a vállalatoknak már a vizsgálat előtt egy teljesen saját, NIS2-kompatibilis információbiztonsági rendszert kellett felépíteniük. Ez magában foglalta az informatikai hálózatok átvilágítását, valamint a kockázatok felmérését és kategorizálását.

Vörös Attila úgy véli, a nagyvállalatok időben és tudatosan megkezdték a felkészülést, a bizonytalanságot inkább a határesetnek számító, éppen az 50 fős létszámküszöböt elérő középvállalkozások jelentik.

Bár előfordulhat, hogy néhányuk figyelmét elkerülte a szigorodó szabályozás, sok közepes cég kifejezetten aktívan foglalkozott a témával, és konkrét jogértelmezési kérdésekkel fordult az iparági szervezetekhez. Az elméleti és adminisztratív előkészületeket követően most úgy tűnik, hogy a gyakorlati bizonyítás elsőre sikerült: a tagok többsége teljesítette első auditját. Az elkövetkező hónapok, évek során derül ki majd igazán, hogy az érintett ágazatok – köztük az agrárium és az élelmiszeripar – szereplői mennyire tudták a mindennapi működésükbe érdemben integrálni az új folyamatokat. A tét nagy, hiszen a kiberbiztonsági megfelelés nem pusztán adminisztratív kötelezettség, hanem a cégek informatikai védelmének tényleges, sok esetben jelentős beruházást igénylő átalakítása – tette hozzá az ügyvezető.