NIS 2 Status in Ungarn
Was die Richtlinie fordert, wie Ungarn sie umsetzt, und wo SZTFH und NKI im Bild stehen.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch Ungarn, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Ungarn muss dieses Niveau in ungarisches Recht überführen und eine Aufsicht darunter führen.
Ungarn setzt NIS 2 vor allem über das Gesetz XXIII von 2023 über Cybersicherheitszertifizierung und Cybersicherheitsaufsicht (2023. evi XXIII. torveny) um, ergänzt durch spätere Regierungsverordnungen. Das Gesetz ist vor der Umsetzungsfrist im Oktober 2024 in Kraft getreten und bildet den Rahmen, in dem die SZTFH heute Aufsicht führt.
Die SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga, Aufsichtsbehörde für regulierte Tätigkeiten) ist die federführende Aufsicht für Cybersicherheitsaufsicht, Zertifizierung und Audits. Das nationale CSIRT ist die NKI (Nemzeti Kibervedelmi Intezet) und sitzt innerhalb der Sonderdienste für nationale Sicherheit, organisatorisch unter dem Kabinettsamt des Ministerpraesidenten. Am 7. Mai 2025 hat die EU Kommission Ungarn ein mit Gründen versehenes Verfahren wegen unvollständiger Mitteilung der Umsetzung übermittelt. Weitere nationale Maßnahmen sind also zu erwarten.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Ungarn unmittelbar anwendbar, ohne nationale Umsetzung.
Ungarische Umsetzung
Gesetz XXIII von 2023 über Cybersicherheitszertifizierung und Cybersicherheitsaufsicht
Die ungarische NIS 2 Umsetzung. Regierungsverordnungen und SZTFH Leitlinien füllen den operativen Detailrahmen. Artikel 32 Absatz 2 des Gesetzes nennt die NIS 2 Richtlinie als das EU Instrument, dem es dient. Das mit Gründen versehene Verfahren der EU Kommission vom 7. Mai 2025 zeigt, dass die vollständige Umsetzung noch nicht in Brüssel notifiziert ist.
Gesetz XXIII von 2023
Bringt die NIS 2 Pflichten in ungarisches Recht. Definiert die Cybersicherheitsaufsicht, Zertifizierung, Auditpflichten und Aufsichtsgebühren. Der operative Detail wird über Regierungsverordnungen und SZTFH Leitlinien geregelt. Das Gesetz ist 2023 in Kraft getreten und wurde stufenweise wirksam.
SZTFH als Aufsicht, NKI als CSIRT
Die SZTFH führt Aufsicht, Zertifizierung, Audits und Gebühren für betroffene Einrichtungen. Die NKI ist das nationale CSIRT und arbeitet innerhalb der Sonderdienste für nationale Sicherheit unter dem Kabinettsamt des Ministerpraesidenten. Aufsicht und Vorfallreaktion liegen in zwei verschiedenen Institutionen, anders als in Frankreich oder Deutschland.
Registrierung und Meldung
Betroffene Einrichtungen stufen sich selbst ein und registrieren sich bei der SZTFH. Erhebliche Sicherheitsvorfälle folgen der Richtlinie. Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat. Konkrete ungarische Portalnamen und exakte Registrierungsfristen ergeben sich aus der jeweils aktuellen SZTFH Leitlinie und sollten dort gegengeprüft werden.
In Ungarn gilt ungarisches Recht
Aktivitäten auf ungarischem Staatsgebiet folgen der ungarischen Umsetzung. Eine deutsche Muttergesellschaft mit ungarischer Tochter liest für diese Tochter das Gesetz XXIII von 2023, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Aufsicht und Sanktionen stehen aber im ungarischen Recht.
Ungarn darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Ungarn darf strenger werden, und ist es bereits über die zusätzliche Zertifizierung und Auditpflicht durch die SZTFH. Ungarn darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans. Genau das prüft das Vertragsverletzungsverfahren vom 7. Mai 2025.
SZTFH
Federführende zuständige Behörde für die Cybersicherheitsaufsicht nach Gesetz XXIII von 2023. Führt Aufsicht, Audits, Zertifizierung und das Gebührenregime. Veröffentlicht die operativen ungarischen Leitlinien für betroffene Einrichtungen.
NKI
Nationales CSIRT. Arbeitet innerhalb der Sonderdienste für nationale Sicherheit unter dem Kabinettsamt des Ministerpraesidenten. Nimmt Vorfallmeldungen entgegen, koordiniert die technische Reaktion und ist die ungarische Kontaktstelle in der EU CSIRT Kooperation. Erreichbar unter csirt@nki.gov.hu.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für ungarische Einrichtungen. Die liegt bei der SZTFH.
Die deutsche Mutter hat BSIG schon abgedeckt, dann ist die ungarische Tochter ebenfalls geregelt.
Die Richtlinienpflichten sind identisch. Aufsicht, Verfahren und Sanktionen stehen aber im ungarischen Recht. Eine ungarische Tochter registriert sich bei der SZTFH, meldet Vorfälle über die NKI und folgt den Fristen aus Gesetz XXIII von 2023. Eine BSIG Freigabe in Bonn ersetzt die ungarische Registrierung nicht.
Ungarn hat die Frist im Oktober 2024 verpasst, also gilt noch nichts.
Das Gesetz XXIII von 2023 ist bereits vor der Umsetzungsfrist in Kraft getreten. Die SZTFH Aufsicht läuft. Das mit Gründen versehene Verfahren der EU Kommission vom 7. Mai 2025 betrifft Lücken in der vollständigen Umsetzung, nicht die Frage, ob die Aufsicht überhaupt existiert. Einrichtungen können nicht auf weitere Gesetze warten.
Nur die elf CER Sektoren lösen in Ungarn NIS 2 aus.
Die Größen und Sektorprüfung folgt den Anhängen I und II der NIS 2 Richtlinie, insgesamt achtzehn Sektoren. CER hat einen engeren Anwendungsbereich und steht in einem eigenen nationalen Rahmen. Das Verwechseln beider Richtlinien ist ein häufiger Grund für falsche Selbsteinstufungen.
Die meisten ungarischen Betreiber, die uns begegnen, denken, NIS 2 starte erst mit einem neuen Sammelgesetz. Das stimmt nicht. Die SZTFH Aufsicht nach Gesetz XXIII von 2023 ist bereits aktiv, Audits finden statt, und die Freigabe durch das Leitungsorgan ist schon heute eine Frage, die die SZTFH stellen kann. Das mit Gründen versehene Verfahren der EU Kommission vom 7. Mai 2025 erhöht den politischen Druck, verschiebt aber nicht den Beginn der Aufsicht.
Der praktische Schritt ist der gleiche wie überall in der EU. Anwendbarkeit gegen die Richtlinie prüfen, sich bei der nationalen Aufsicht registrieren (hier SZTFH), die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung über die NKI, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Sektorale Regulatoren bleiben dort zuständig, wo Lex specialis greift, im Finanzsektor insbesondere die MNB.
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Gesetz XXIII von 2023 über Cybersicherheitszertifizierung und Cybersicherheitsaufsicht (2023. evi XXIII. torveny), Nemzeti Jogszabalytar
- SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga), offizielle Seite, sztfh.hu
- NKI (Nemzeti Kibervedelmi Intezet), nationales CSIRT, nki.gov.hu
- Europäische Kommission, NIS 2 Umsetzungsstand Ungarn, mit Gründen versehenes Verfahren vom 7. Mai 2025
- MNB (Magyar Nemzeti Bank), zuständige Behörde für DORA im Finanzsektor
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
