2025. évi CXXXV. törvény — mi változott? 2026. január 7.

1. § A Szabályozott Tevékenységek Felügyeleti Hatóságáról szóló 2021. évi XXXII. törvény (a továbbiakban: Sztfh tv.) 3. § (6) bekezdése helyébe a következő rendelkezés lép:

„(6) A Hatóság látja el – a hadiipari kutatással, fejlesztéssel, gyártással és kereskedelemmel összefüggő kiberbiztonsági tanúsító hatósági feladatok kivételével – a Kiberbiztonsági tv. szerinti nemzeti kiberbiztonsági tanúsító hatóság feladatait, továbbá a Kiberbiztonsági tv. 1. § (1) bekezdés d) és e) pontja szerinti szervezetek elektronikus információs rendszerei kiberbiztonsági felügyeletét. A Hatóság látja el az (EU) 2024/2847 európai parlamenti és tanácsi rendelet előírásai tekintetében a bejelentő hatósági és piacfelügyeleti hatósági feladatokat.”

2. § Az Sztfh tv. 36/A. §-a a következő (3) bekezdéssel egészül ki:

„(3) A 3. § (6) bekezdése a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről, valamint a 168/2013/EU és az (EU) 2019/1020 rendelet, és az (EU) 2020/1828 irányelv módosításáról (a kiberrezilienciáról szóló rendelet) szóló, 2024. október 23-i (EU) 2024/2847 európai parlamenti és tanácsi rendeletnek a végrehajtásához szükséges rendelkezéseket állapít meg.”

4. § (1) A Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (a továbbiakban: Kiberbiztonsági tv.) 1. § (1) bekezdés b) pont bb) alpontja helyébe a következő rendelkezés lép:

[E törvénynek a szervezetek kötelezettségeire és a kiberbiztonsági hatósági felügyeletre vonatkozó rendelkezéseit kell alkalmazni

a többségi állami befolyás alatt álló azon gazdálkodó szervezetekre, amelyek nem tartoznak az a) pont hatálya alá és amelyek vonatkozásában legalább az egyik feltétel teljesül az alábbiak közül:]

- „bb) éves nettó árbevétele vagy éves költségvetési bevételi előirányzata meghaladja a 10 millió eurónak megfelelő forintösszeget, és – a számvitelről szóló 2000. évi C. törvény 8. § (2) bekezdése szerinti beszámoló készítésére köteles szervezet esetében – mérlegfőösszege meghaladja a 10 millió eurónak megfelelő forintösszeget,”

(2) A Kiberbiztonsági tv. 1. § (1) bekezdés d) pontja helyébe a következő rendelkezés lép:

(E törvénynek a szervezetek kötelezettségeire és a kiberbiztonsági hatósági felügyeletre vonatkozó rendelkezéseit kell alkalmazni)

„d) azokra a 2. és 3. melléklet szerinti szervezetekre, amelyek nem tartoznak az a) pont hatálya alá és a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló törvény szerint középvállalkozásoknak minősülnek, valamint azokra a 2. és 3. melléklet szerinti szervezetekre, amelyek nem tartoznak az a) pont hatálya alá, és amelyek vonatkozásában legalább az egyik feltétel teljesül a következők közül:

da) összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy

db) éves nettó árbevétele vagy éves költségvetési bevételi előirányzata meghaladja a 10 millió eurónak megfelelő forintösszeget, és – a számvitelről szóló 2000. évi C. törvény 8. § (2) bekezdése szerinti beszámoló készítésére köteles szervezet esetében – mérlegfőösszege meghaladja a 10 millió eurónak megfelelő forintösszeget,”

(3) A Kiberbiztonsági tv. 1. §-a a következő (1a) bekezdéssel egészül ki:

„(1a) Az (1) bekezdésben euróban meghatározott összegek forintra történő átszámításakor a Magyar Nemzeti Bank által közzétett, a szervezet üzleti évének lezárásakor vagy – költségvetési szerv esetében – a költségvetési év zárásakor érvényes hivatalos devizaárfolyamot kell alkalmazni. Újonnan alapított szervezet esetén a tárgyévet megelőző év utolsó napján érvényes, a Magyar Nemzeti Bank által közzétett hivatalos devizaárfolyamot kell alkalmazni.”

5. § (1) A Kiberbiztonsági tv. 4. §-a a következő 31a. ponttal egészül ki:

(E törvény alkalmazásában)

„31a. gazdálkodó szervezet: a polgári perrendtartásról szóló törvény szerinti fogalom;”

(2) A Kiberbiztonsági tv. 4. § 65. pontja helyébe a következő rendelkezés lép:

(E törvény alkalmazásában)

„65. megfelelőségértékelés: – a IX/A. Fejezet kivételével – az az értékelési eljárás, amely bizonyítja, hogy egy IKT-termékkel, IKT-folyamattal, IKT-szolgáltatással kapcsolatos, meghatározott követelmények teljesültek;”

(3) A Kiberbiztonsági tv. 4. §-a a következő 96a. ponttal egészül ki:

(E törvény alkalmazásában)

„96a. többségi állami befolyás alatt álló gazdálkodó szervezet:

a) a magyar államnak a Polgári Törvénykönyvről szóló törvényben meghatározott többségi befolyása, vagy

b) a Kormány, annak tagja, az Országgyűlés elnöke közvetlen, vagy az általa irányított költségvetési szerven keresztül gyakorolt rendelkezési, irányítási, felügyeleti joga

alatt álló gazdálkodó szervezet;”

6. § (1) A Kiberbiztonsági tv. 8. § (4) bekezdés a) pontja helyébe a következő rendelkezés lép:

[Az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezet – az 51. alcímben foglalt kivételekkel – az e törvény hatálya alá kerülését követő]

„a) 30 napon belül bejelenti a nemzeti kiberbiztonsági hatóság részére a 28. § (1) bekezdés 1. pont a)–e) és j) alpontjában meghatározott adatokat, nyilvántartásba vétel céljából,”

(2) A Kiberbiztonsági tv. 8. § (6) bekezdés b) pontja helyébe a következő rendelkezés lép:

[A (4) és (5) bekezdés alkalmazása szempontjából az e törvény hatálya alá kerülés időpontja]

„b) az 1. § (1) bekezdés b) vagy d) pontja szerinti esetben

ba) az e törvény hatálya alá kerülésre okot adó feltétel bekövetkezését követő év első, vagy

bb) ha a szervezet a ba) alpont szerinti napot megelőzően benyújtott nyilvántartásba vételi kérelmében ezt kéri, a szervezet nyilvántartásba vételéről szóló döntés véglegessé válásának,”

[napja.]

(3) A Kiberbiztonsági tv. 8. §-a a következő (6a) bekezdéssel egészül ki:

„(6a) Ha az 1. § (1) bekezdés b) vagy d) pontja szerinti szervezet esetében az e törvény hatálya alá kerülésre okot adó 1. § (1) bekezdés b) pont ba) vagy bb) alpontja, illetve 1. § (1) bekezdés d) pont da) vagy db) alpontja szerinti feltétel megszűnik, az e törvény hatálya alól történő kikerülés időpontja a feltétel megszűnését követő második év vége.”

7. § A Kiberbiztonsági tv. 76. §-a a következő (4) bekezdéssel egészül ki:

„(4) A kiberbiztonsági hatóság és a Kszetv., valamint a Vbö. szerinti kijelölő hatóság együttműködése keretében a Kszetv., valamint a Vbö. szerinti kijelölő hatóság valamely szervezet kritikus szervezetként vagy az ország védelme és biztonsága szempontjából jelentős szervezetként történő kijelöléséről vagy annak visszavonásáról a döntése megküldésével tájékoztatja a kiberbiztonsági hatóságot.”

8. § A Kiberbiztonsági tv. a következő 79/A. §-sal egészül ki:

„79/A. § (1) Az 1. és 2. §-ban meghatározott, az információs önrendelkezési jogról és az információszabadságról szóló törvény szerinti közfeladatot ellátó szervnek is minősülő szervezet (a továbbiakban: közfeladatot ellátó szerv) által használt vagy szolgáltatott elektronikus információs rendszerrel vagy központi szolgáltatással kapcsolatos adat megismerése iránti igényt az adat keletkezésétől számított legfeljebb 20 évig el kell utasítani, ha az adat megismerése kiberbiztonsági érdeket veszélyeztet.

(2) Az (1) bekezdés szerinti igény teljesíthetőségéről a közfeladatot ellátó szerv vezetője dönt.”

9. § A Kiberbiztonsági tv. a következő fejezettel egészül ki:

### „IX/A. Fejezet — AZ (EU) 2024/2847 EURÓPAI PARLAMENTI ÉS TANÁCSI RENDELET VÉGREHAJTÁSÁRA VONATKOZÓ SZABÁLYOK

#### 48/A. Az (EU) 2024/2847 európai parlamenti és tanácsi rendelet végrehajtásával kapcsolatos általános rendelkezések

80/A. § E fejezet alkalmazásában:

- 1. bejelentett szervezet: az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 3. cikk 29. pontjában meghatározott fogalom;

- 2. bejelentő hatóság: az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 3. cikk 26. pontjában meghatározott fogalom;

- 3. megfelelőségértékelés: az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 3. cikk 27. pontjában meghatározott fogalom;

- 4. piacfelügyeleti hatóság: az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 3. cikk 33. pontjában meghatározott fogalom.

80/B. § Az (EU) 2024/2847 európai parlamenti és tanácsi rendelet előírásai tekintetében bejelentő hatóságként és piacfelügyeleti hatóságként az SZTFH jár el.”

14. § A Kiberbiztonsági tv. a következő alcímmel egészül ki:

#### „52/A. A törvény hivatalos rövid megjelölése

90/A. § E törvénynek más jogszabályban alkalmazandó rövid megjelölése: Kiberbiztonsági tv.”

15. § A Kiberbiztonsági tv. 91. § (2) bekezdése a következő d) és e) ponttal egészül ki:

(Ez a törvény)

„d) a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről, valamint a 168/2013/EU és az (EU) 2019/1020 rendelet, és az (EU) 2020/1828 irányelv módosításáról (a kiberrezilienciáról szóló rendelet) szóló, 2024. október 23-i (EU) 2024/2847 európai parlamenti és tanácsi rendeletnek,

e) a termékek forgalomba hozatalának közös keretrendszeréről, valamint a 93/465/EGK tanácsi határozat hatályon kívül helyezéséről szóló, 2008. július 9-i 768/2008/EK európai parlamenti és tanácsi határozatnak”

(a végrehajtásához szükséges rendelkezéseket állapít meg.)

- 1. 1. § (6) bekezdés 8. pontjában az „öt” szövegrész helyébe az „5” szöveg,

- 2. 8. § (3) bekezdés a) pontjában a „tizenöt” szövegrész helyébe a „14” szöveg,

- 3. 10. § (6) bekezdésében a „két” szövegrész helyébe a „2” szöveg,

- 4. 11. § (14) bekezdésében a „felelős személyek” szövegrész helyébe a „felelős személy feladatainak ellátására alkalmas személyek” szöveg,

- 5. 11. § (15) bekezdésében a „felelős személyek” szövegrész helyébe a „felelős személy feladatainak ellátására alkalmas személyek” szöveg,

- 6. 16. § (2) bekezdés b) pontjában a „két” szövegrész helyébe a „2” szöveg,

- 7. 18. § (1) bekezdés f) pont fa) alpontjában az „öt” szövegrész helyébe az „5” szöveg,

- 8. 19. § (2) bekezdés e) pont ea) alpontjában az „öt” szövegrész helyébe az „5” szöveg,

- 9. 21. § (6) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 10. 21. § (7) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 11. 24. § (9) bekezdésében a „SZTFH-t –” szövegrész helyébe a „SZTFH-t és a nemzeti kiberbiztonsági hatóságot –” szöveg és a „bekezdés b) pontja” szövegrész helyébe a „bekezdése” szöveg,

- 12. 25. § (2) bekezdésében az „eljárás ügyintézési” szövegrész helyébe az „eljárás és hatósági ellenőrzés ügyintézési” szöveg és a „százhúsz” szövegrész helyébe a „120” szöveg,

- 13. 25. § (3) bekezdésében a „százhúsz” szövegrész helyébe a „120” szöveg és a „kilencven” szövegrész helyébe a „90” szöveg,

- 14. 29. § (5) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 16. 33. § (3) bekezdésében a „kilencven” szövegrészek helyébe a „90” szöveg,

- 17. 34. § (1) bekezdésében a „hetvenkét” szövegrész helyébe a „72” szöveg,

- 18. 36. § (1) bekezdésében az „egy” szövegrész helyébe az „1” szöveg,

- 19. 56. § (5) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 20. 56. § (6) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 21. 57. § (3) bekezdésében a „két” szövegrész helyébe a „2” szöveg,

- 22. 60. § (2) bekezdésében a „hatvan” szövegrész helyébe a „60” szöveg,

- 23. 60. § (3) bekezdésében a „tizenöt” szövegrész helyébe a „15” szöveg,

- 24. 77. § (3) bekezdésében az „öt” szövegrészek helyébe az „5” szöveg,

- 25. 77. § (4) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 26. 77. § (5) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 27. 77. § (6) bekezdésében az „öt” szövegrész helyébe az „5” szöveg,

- 28. 78. § (1) bekezdés a) pontjában az „öt” szövegrész helyébe az „5” szöveg,

- 29. 81. § (2) bekezdés 5. pontjában a „felelős személyek” szövegrész helyébe a „felelős személy feladatainak ellátására alkalmas személyek” szöveg

17. § Hatályát veszti a Kiberbiztonsági tv. 91. § (2) bekezdés b) pontjában a „valamint” szövegrész.