2025. évi CXXXV. törvény — mi változott? 2026. június 12.

3. § Az Sztfh tv.

- a) 13. § q) pontjában az „és szakértelmet, továbbá a kiberbiztonsági incidensek kezelésére jogosult gazdálkodó szervezetek nyilvántartásba vételének részletes szabályait, a nyilvántartás személyes adatot nem tartalmazó adattartalmát, valamint a tevékenység végzéséhez szükséges infrastrukturális feltételeket és szakértelmet,” szövegrész helyébe az „és szakértelmet, a kiberbiztonsági incidensek kezelésére jogosult gazdálkodó szervezetek nyilvántartásba vételének részletes szabályait, a nyilvántartás személyes adatot nem tartalmazó adattartalmát, valamint a tevékenység végzéséhez szükséges infrastrukturális feltételeket és szakértelmet, továbbá a megfelelőségértékelő szervezetek Kiberbiztonsági tv. 80/C. § (1) bekezdés b) pontja szerinti nyilvántartásba vételének feltételeire, valamint az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 39. cikk (2)–(12) bekezdése szerinti egyes követelmények teljesítésére vonatkozó részletes szabályokat, ezek igazolásának módját, továbbá a nyilvántartásba vételi eljárás rendjét és a nyilvántartás törvényben nem szabályozott személyes adatnak nem minősülő adattartalmát, valamint a Kiberbiztonsági tv. 80/F. § (1) bekezdése szerinti jelentés tartalmi követelményeit, benyújtásának idejét és módját,” szöveg,

- b) 36/A. § (3) bekezdésében a „bekezdése” szövegrész helyébe a „bekezdése és a 13. § q) pontja” szöveg

lép.

10. § A Kiberbiztonsági tv. IX/A. Fejezete a következő alcímmel egészül ki:

#### „48/B. Bejelentő hatósági tevékenység

80/C. § (1) E fejezet szerinti megfelelőségértékelési tevékenységet csak olyan szervezet végezhet,

- a) amely megfelel az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 39. cikk (2)–(12) bekezdése szerinti követelményeknek,

- b) amelyet az SZTFH nyilvántartásba vett, és

- c) amely esetében teljesül az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 43. cikk (5) bekezdése szerinti feltétel.

(2) Az e fejezetben szabályozott megfelelőségértékelési tevékenységre, valamint az SZTFH e fejezet szerinti tevékenységére nem kell alkalmazni a megfelelőségértékelő szervezetek tevékenységéről szóló törvény rendelkezéseit.

(3) Az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 36. cikk (1) bekezdése szerinti kijelölésre az (1) bekezdés b) pontja szerinti nyilvántartásba vétellel kerül sor.

(4) A megfelelőségértékelő szervezetek (1) bekezdés b) pontja szerinti nyilvántartásba vételének feltételeire, valamint az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 39. cikk (2)–(12) bekezdése szerinti egyes követelmények teljesítésére vonatkozó részletes szabályokat, ezek igazolásának módját, továbbá a nyilvántartásba vételi eljárás rendjét az SZTFH elnöke rendeletben határozza meg.

(5) Az SZTFH mint bejelentő hatóság eljárása során a sommás eljárás kizárt.

(6) Az SZTFH mint bejelentő hatóság ügyintézési határideje 120 nap.

80/D. § (1) Az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 39. cikke szerinti összeférhetetlenségi követelmények megsértését bárki bejelentheti az SZTFH-nak.

(2) Az (1) bekezdés szerinti bejelentést az SZTFH kivizsgálja. Ha a bejelentés megalapozott, továbbá ha az összeférhetetlenséget saját hatáskörben maga észleli, az SZTFH haladéktalanul értesíti a bejelentett szervezetet, amely az értesítés kézhezvételét követően haladéktalanul köteles felfüggeszteni az összeférhetetlenséggel érintett tevékenységet.

(3) Ha a bejelentett szervezet az összeférhetetlenség fennállását maga észleli, az észlelést követően haladéktalanul köteles azt bejelenteni az SZTFH-nak és felfüggeszteni az összeférhetetlenséggel érintett tevékenységet.

(4) A bejelentett szervezet köteles tájékoztatni az SZTFH-t az összeférhetetlenség megszüntetésére tett vagy tervezett intézkedéseiről a (2) bekezdés szerinti esetben az SZTFH értesítésének kézhezvételétől számított, a (3) bekezdés szerinti esetben pedig a saját bejelentésétől számított huszonegy napon belül.

(5) Az SZTFH az összeférhetetlenség megszüntetésére tett intézkedésekről szóló tájékoztatás kézhezvételétől számított nyolc napon belül dönt az intézkedések megfelelőségéről. Ha az összeférhetetlenség megszüntetése biztosított, a bejelentett szervezet az SZTFH döntése alapján a tevékenységet folytathatja, ellenkező esetben az SZTFH megszüntethető összeférhetetlenség esetén az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 43. cikke szerinti bejelentést felfüggeszti, a meg nem szüntethető összeférhetetlenség esetén visszavonja.

(6) Az SZTFH az összeférhetetlenségi követelmények megsértésével végzett megfelelőségértékelési tevékenységek eredményének, továbbá az így kiadott tanúsítványok visszavonására kötelezi a kijelölt szervezetet. Nem kell alkalmazni ezt a rendelkezést, ha az összeférhetetlenség a megfelelőségértékelési tevékenységet elvégző munkavállaló vagy a bejelentett szervezettel munkavégzésre irányuló egyéb jogviszonyban álló személy vonatkozásában állt fenn, azonban a bejelentett szervezet más, összeférhetetlenséggel nem érintett munkavállalója vagy vele munkavégzésre irányuló egyéb jogviszonyban álló ilyen személy által harminc napon belül elvégzett megfelelőségértékelés azonos eredményre vezetett.

80/E. § (1) Az SZTFH nyilvántartja és kezeli

- a) a megfelelőségértékelő vagy a bejelentett szervezet és annak kijelölt kapcsolattartója azonosításához szükséges adatokat, elérhetőségét, valamint az SZTFH elnökének rendeletében meghatározott követelmények teljesülését alátámasztó dokumentumokat,

- b) a megfelelőségértékelő vagy a bejelentett szervezet nyilvántartásba vételének és nyilvántartásból való törlésének időpontját, és nyilvántartási számát,

- c) a nyilvántartásból való törlés indokát,

- d) az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 43. cikke szerinti bejelentés időpontját,

- e) az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 44. cikk (1) bekezdése szerinti azonosító számot,

- f) annak tényét, ha az SZTFH az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 43. cikke szerinti bejelentést korlátozta, felfüggesztette vagy visszavonta, valamint e döntés időpontját,

- g) azon megfelelőségértékelési modult vagy modulokat, amely tekintetében a bejelentett szervezet megfelelőségértékelési eljárást folytathat,

- h) a bejelentett szervezet által kiadott tanúsítvány adatait,

- i) a tanúsítványok kiállításának elutasításával, hatályának korlátozásával, felfüggesztésével és a visszavonásával kapcsolatos információkat,

- j) a benyújtott panaszokkal kapcsolatos adatokat, dokumentumokat,

- k) az SZTFH elnökének rendeletében előírt további, személyes adatnak nem minősülő adatokat.

(2) Az (1) bekezdés szerinti nyilvántartás az (1) bekezdés b) és f) pontja szerinti adatok tekintetében közhiteles hatósági nyilvántartás.

(3) Az (1) bekezdés szerinti adatok kezelésének célja a megfelelőségértékelő szervezetekkel és a bejelentett szervezetekkel kapcsolatos információk naprakészen tartása, valamint az SZTFH ellenőrzési és nyomonkövetési tevékenységének ellátása.

(4) A megfelelőségértékelő szervezet vagy a bejelentett szervezet az (1) bekezdés szerinti adatokat az adatok rendelkezésre állásától, valamint az adatok változását a változás bekövetkezésétől számított 8 napon belül megküldi az SZTFH részére a nyilvántartásba vétel érdekében.

(5) Az SZTFH a honlapján közzéteszi a bejelentett szervezet megnevezését, székhelyének címét, elektronikus levelezési címét és telefonszámát, valamint az (1) bekezdés b), e) és g) pontja szerinti adatait.

(6) Ha a bejelentett szervezet az e fejezet szerinti megfelelőségértékelési tevékenységet már nem végez, akkor az SZTFH a rá vonatkozó (EU) 2024/2847 európai parlamenti és tanácsi rendelet 43. cikke szerinti bejelentést haladéktalanul visszavonja.

(7) Ha az SZTFH az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 43. cikke szerinti bejelentést visszavonja, vagy az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 43. cikk (5) bekezdése szerinti feltétel nem teljesül, az SZTFH az érintett bejelentett vagy megfelelőségértékelő szervezet (1) bekezdés szerinti adatait az e körülmények bekövetkezését követő öt év elteltével törli a nyilvántartásból.

(8) Ha az (1) bekezdés szerinti adatok változását a bejelentett vagy megfelelőségértékelő szervezet bejelenti, a nyilvántartásban a változás bejegyzését megelőzően szereplő adatot az SZTFH az adat változása bejegyzését követő öt év elteltével a nyilvántartásból törli.

80/F. § (1) A bejelentett szervezet az e fejezet szerinti megfelelőségértékelési tevékenységéről évente jelentést készít, amelyet az SZTFH elnökének rendeletében meghatározott tartalommal, határidőben és módon nyújt be az SZTFH részére.

(2) A bejelentett szervezet közvetlenül vagy kijelölt képviselőjén keresztül részt vesz az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 51. cikk (1) bekezdése szerinti csoport munkájában.

80/G. § A megfelelőségértékelő szervezet döntésével szemben az (EU) 2024/2847 európai parlamenti és tanácsi rendelet szerinti gyártó polgári ügyekben eljáró bírósághoz fordulhat.”

13. § A Kiberbiztonsági tv. 81. § (6) bekezdése a következő o) és p) ponttal egészül ki:

(Felhatalmazást kap az SZTFH elnöke, hogy rendeletben meghatározza)

„o) a megfelelőségértékelő szervezetek 80/C. § (1) bekezdés b) pontja szerinti nyilvántartásba vételének feltételeire, valamint az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 39. cikk (2)–(12) bekezdése szerinti egyes követelmények teljesítésére vonatkozó részletes szabályokat, ezek igazolásának módját, továbbá a nyilvántartásba vételi eljárás rendjét és a nyilvántartás törvényben nem szabályozott személyes adatnak nem minősülő adattartalmát,

p) a 80/F. § (1) bekezdése szerinti jelentés tartalmi követelményeit, benyújtásának idejét és módját.”