Ha az EU-ban élsz, három jogszabály alakítja, milyen gyorsan kell egy vállalatnak elismernie, hogy feltörték. A NIS2, a DORA és a GDPR 2026-os összehasonlítása a hatályt, a 24 órás és 72 órás incidens-határidőket, a 10 millió és 20 millió euró közötti sávba eső bírságokat, valamint azt vizsgálja, mely tagállamok jártak el 2026 novemberéig. Ez a bejegyzés ezt közérthető nyelvre fordítja le. A NIS2 DORA GDPR adatvédelmi incidens bejelentése rövid változata: szorosak a határidők, nagyok a büntetések, és a szabályok nem minden országban érvényesülnek ugyanúgy.

Mit jelentenek valójában a NIS2, DORA és GDPR adatvédelmi incidens bejelentési határidői

A két szám, amely kitűnik az összehasonlításból, a 24 óra és a 72 óra. Ezek olyan határidők, amelyek akkor kezdenek el telni, amikor egy szervezet tudomást szerez egy súlyos incidensről. Nem ígéretek arra, hogy egy vagy három napon belül értesíteni fognak.

A gyakorlatban ezek a határidők elsősorban arról szólnak, hogy a vállalat jelent a szabályozónak vagy felügyeleti hatóságnak. Ez a korai jelentés lehetővé teszi a tisztviselők számára, hogy lássák, egy támadás egyszerre több szervezetet ér-e. A rövidebb első határidő (24 óra) általában korai előzetes jelzést jelent, míg a hosszabb (72 óra) időt hagy a történtek teljesebb képére. A forrás-összehasonlítás nem fejti ki minden részletét annak, hogyan rendeli az egyes jogszabályokhoz a határidőket, ezért ellenőrizd az egyes rendeletek hivatalos szövegét vagy a nemzeti hatóságodat a pontos megfogalmazásért.

A három jogszabály különböző területeket is fed le:

  • A GDPR a személyes adatokról szól, és azokra a szervezetekre vonatkozik, amelyek az EU-ban élő emberek adatait kezelik.
  • A NIS2 a társadalmilag fontosnak tartott ágazatok hálózati és információs rendszereinek biztonságáról szól.
  • A DORA a pénzügyi ágazat digitális működési ellenálló képességéről szól.

Az átfedés miatt egyetlen incidens egyszerre több jogszabályt is kiválthat. Egy pénzügyi cég elleni kibertámadás, amely ügyféladatokat tesz közzé, mindhárom jogszabály szerint felvethet kérdéseket.

Amikor egy vállalatnak értesítenie kell az incidensről: mit jelent ez neked

Itt kell kiigazítani az elvárásokat. A 24 órás vagy 72 órás határidő nem azt jelenti, hogy másnap villogni fog a postaládád. Az első jelentés általában a hatóságokhoz megy, az érintett személyek értesítése pedig külön lépés, saját feltételekkel. Ezek a feltételek a vonatkozó jogszabálytól és a számodra jelentett kockázat súlyosságától függnek.

Amit a keretrendszerből ésszerűen leszűrhetsz:

  • A szabályozók hallanak először. A formális határidő várhatóan a hatóságnak szóló jelentésre vonatkozik, nem a nyilvános bejelentésre.
  • A korai értesítések hiányosak lehetnek. Egy rövid első jelentés kihagyhatja az okot, a mértéket, vagy azt, hogy érintettek-e az adataid.
  • A jogaid elsősorban a GDPR-ból erednek. Ez a személyes adatokra összpontosító jogszabály, ezért ezt kell megnézned, amikor tudni akarod, mire vagy jogosult értesítést kapni.
  • Az ágazat számít. Ha a bankodat, egy fizetési szolgáltatót vagy egy alapvető szolgáltatást ér támadás, a NIS2 vagy a DORA kötelezettségei a GDPR mellett is alkalmazhatók.

Mindez nem helyettesíti a saját óvatosságodat. Még egy jól működő bejelentési rendszer is rést hagy az incidens és az értesítésed között, ezért érdemes jelszavakat változtatni, többtényezős hitelesítést engedélyezni, és figyelni a fiókjaidat szokatlan tevékenységre, amint értesülsz egy incidensről.

Hogyan hasonlíthatók össze a NIS2, DORA és GDPR bírságai

Az összehasonlítás a büntetéseket 10 millió és 20 millió euró közötti sávként keretezi. Ez a tartomány jelzi, milyen komolyan veszik a jogalkotók a elmulasztott határidőket és a gyenge biztonságot. A határidőben történő bejelentés elmulasztása önmagában is megfelelési hiányosság, függetlenül az incidenstől.

Egy pontosítási fenntartás. A forrás-összefoglaló az átfogó sávot adja meg, de nem tételes bontást mutat arról, melyik jogszabály melyik összeget írja elő. Nem fogunk találgatni a jogszabályonkénti összegekről, mert a büntetési struktúrák különböző felső határokat, árbevétel-százalékokat és nemzeti végrehajtási döntéseket tartalmazhatnak. Különösen a DORA esetében a részletek függhetnek attól, hogyan állapítja meg büntetéseit az egyes tagállamok. Ha egy adott jogszabályhoz pontos számokra van szükséged, olvasd el magát a rendeletet vagy a nemzeti hatóságod útmutatását.

Amit a sáv elárul, az az, hogy a szabályozóknak valódi eszközeik vannak. Azoknál a vállalatoknál, amelyeknek több átfedő kötelezettséget kell teljesíteniük, egy rosszul kezelt incidens egyszerre több megfelelési problémát is okozhat.

Hogyan ellenőrizheted, hogy az EU-s országod átültette-e a NIS2-t és a DORÁ-t

Az összehasonlítás azt is nyomon követi, mely EU-tagállamok jártak el 2026 novemberéig, ami emlékeztető arra, hogy az uniós szabályok nem mindig lépnek egyszerre hatályba mindenhol. A NIS2 irányelv, ezért minden tagállamnak nemzeti jogba kell átültetnie, és az előrehaladás országról országra eltérhet. Gyakorlati módok annak ellenőrzésére, hol áll a tiéd:

  1. Keress rá a nemzeti kormányod kiberbiztonsági hatóságára. Általában közzéteszi a nemzeti NIS2-jogszabály állapotát, és felsorolja, kinek kell regisztrálnia vagy jelentenie.
  2. Nézd meg a pénzügyi szabályozódat. A DORA esetében a nemzeti pénzügyi felügyelet a legjobb forrás arra, hogyan alkalmazandók a szabályok a bankokra, biztosítókra és fizetési cégekre.
  3. Ellenőrizd az adatvédelmi hatóságodat. A GDPR esetében elmagyarázza, hogyan nyújthatsz be panaszt, és milyen értesítési jogaid vannak.
  4. Olvasd el a hivatalos EU-s szövegeket. Maguk a rendeletek és irányelvek a végső szó a határidőkről és a hatályról.

Ha az országod lassú volt, az nem szünteti meg a GDPR-t. Évek óta alkalmazandó az egész EU-ban, és ez marad a legközvetlenebb eszközöd, amikor személyes adatok kerülnek nyilvánosságra.

Fő tanulságok

A NIS2 DORA GDPR adatvédelmi incidens bejelentése megértése néhány pontra vezethető vissza: a 24 órás és 72 órás határidők többnyire a szabályozóknak szóló jelentéseket szabályozzák, a bírságok jelentősek, és a nemzeti átültetés változó. Szánj rá néhány percet ezen a héten, hogy utánanézz a saját országod NIS2- és DORA-státuszának, és tekintsd át GDPR-jogaidat a tájékoztatáshoz és az adatvédelmi hatóságodhoz való panasz benyújtásához.

Ha látni szeretnéd, hogyan kezel egy nem EU-s rendszer hasonló kérdéseket, olvasd el a UK Cyber Security Resilience Bill című cikkünket, amely a kritikus infrastruktúrát formális nemzeti keretrendszerbe vonja, és saját incidens-bejelentési kötelezettségekkel foglalkozik. Az EU-s megközelítéssel való összehasonlítása megmutatja, hogyan közelednek a különböző kormányok a gyorsabb, strukturáltabb incidens-közzététel felé.