NIS2 egy magyar startupnál: az 50 fős határ önmagában nem dönt

Egy magyar startup NIS2-érintettségéről az 50 fős küszöböt is tartalmazó kiberbiztonsági törvény alapján nem dönt a saját létszám önmagában: a végzett tevékenység, a méret és adott esetben a kapcsolódó cégek adatai együtt számítanak. Bizonyos szolgáltatókra méretüktől függetlenül is kiterjedhetnek a szabályok.

A besoroláshoz négy kérdést kell tisztázni. Melyik jogi személy milyen szolgáltatást nyújt ténylegesen? Mekkora a vállalkozás a létszám, az árbevétel és a mérlegfőösszeg alapján? Vannak-e beszámítandó partner- vagy kapcsolódó vállalkozásai? Fennáll-e olyan külön jogalap, amely mellett a méret nem feltétel? Egy kis saját létszámú startup is lehet érintett, ha a tevékenysége és a teljes méretszámítás ezt indokolja.

Első kapu: szerepel-e a tényleges tevékenység az ágazati listán?

A vizsgálat kiindulópontja a szolgáltatás pontos jogszabályi besorolása. A kiemelten kockázatos ágazatok szervezettípusait a kiberbiztonsági törvény második, a kockázatos ágazatokét a harmadik melléklet sorolja fel. Technológiai vállalkozásnál szóba jöhet például a felhőszolgáltatás, a kihelyezett infokommunikációs szolgáltatás, az online piactér működtetése vagy a doménnév-regisztráció. Az elektronikai termékek gyártása szintén szerepel a felsorolásban. A megfelelő sor megtalálásához az ágazat neve mellett a szervezet típusát leíró feltételt is el kell olvasni.

A „szoftvercég” vagy a „startup” megjelölés ehhez túl tág. Egy vállalkozás fejleszthet alkalmazást saját termékéhez, üzemeltethet ügyfelek rendszereit, vagy működtethet piacteret; ezek eltérő tevékenységek. Rögzíteni kell, hogy a szolgáltatást melyik cég nyújtja, kinek és milyen szerződéses szerepben. Ha egy cégcsoport egyik tagja érintett ágazatban működik, attól a többi tag tevékenysége még külön vizsgálandó.

Második kapu: mit mutatnak a méretadatok?

A KKV-törvény méretszabálya szerint a kisvállalkozás létszáma 50 főnél kevesebb, éves nettó árbevétele vagy mérlegfőösszege pedig legfeljebb 10 millió eurónak megfelelő forintösszeg. A KKV-kategória felső határa 250 főnél kevesebb foglalkoztatott, valamint legfeljebb 50 millió eurós árbevétel vagy 43 millió eurós mérlegfőösszeg. A „vagy” fontos: a létszám és a két pénzügyi adat kapcsolatát kell vizsgálni, nem egyetlen mutatót külön-külön.

Így egy 50 főnél kisebb, felsorolt tevékenységet végző cég is középvállalkozásnak minősülhet, ha a kisvállalkozás pénzügyi határain már kívül esik, de a KKV-kategóriába még belefér. A kiberbiztonsági törvény emellett külön hatályi utat ad a felsorolt szervezeteknél az 50 főt elérő összes foglalkoztatotti létszámnak. Másik út, ha az éves nettó árbevétel meghaladja a 10 millió eurónak megfelelő forintösszeget, és beszámolókészítésre köteles szervezetnél a mérlegfőösszeg is meghaladja ezt a határt. Ezeket a feltételeket nem szabad „50 fő és 10 millió euró” együttes követelményévé összevonni.

A méret megállapításának alapja rendszerint az utolsó elfogadott beszámoló. Ha az új vállalkozásnak még nincs ilyen beszámolója, a tárgyévi üzleti terv adatait kell figyelembe venni; rövidebb működési idő adatait éves szintre kell vetíteni. A KKV-minősítés változásánál két egymást követő számviteli vagy bevallási időszak szabálya is számít. Ezért a belső számításhoz az adatértékek mellé az időszakot és a felhasznált beszámolót is oda kell írni.

Harmadik kapu: mely cégek adatait kell hozzászámítani?

A saját beszámoló nem mindig mutatja a besoroláshoz szükséges teljes méretet. A 2026-os kamarai iránymutatás szerint a középvállalkozási minősítésnél az anya-, leány-, partner- és kapcsolódó vállalkozások adatai továbbra is befolyásolhatják a kiberbiztonsági törvény szerinti érintettséget. Egy kisebb magyar leányvállalat tehát nem hagyhatja figyelmen kívül a vállalatcsoportot csak azért, mert saját létszáma alacsony.

Az önálló, a partner- és a kapcsolódó vállalkozás eltérő számítási eset. A partnervállalkozás adatainál a közvetlen tőkeérdekeltség vagy szavazati arány közül a nagyobbik arány számít; a kapcsolódó vállalkozás adatait főszabály szerint teljes egészében kell hozzáadni, ha még nem szerepelnek az összevont beszámolóban. A kapcsolatot nem csupán a tulajdoni százalék döntheti el: a szavazatok többsége, a vezetők kinevezésének joga, a szerződéses irányítás és a közvetett kapcsolatok is lényegesek lehetnek.

Ez különösen fontos befektetőt bevonó startupnál. A tulajdonosi lista önmagában nem árulja el, hogy egy befektető partnervállalkozási kapcsolatot vagy döntő irányítást hoz-e létre; az irányítási jogokat is ismerni kell. Az összevont beszámolóban már benne lévő adatokat viszont nem lehet még egyszer hozzáadni. A cégcsoport adatai a vizsgált vállalkozás méretét módosíthatják, miközben minden tag saját tevékenységét külön kell összevetni az ágazati listával.

Negyedik kapu: fennáll-e mérettől független jogalap?

Az elektronikus hírközlési szolgáltató, a bizalmi szolgáltató, a DNS-szolgáltató, a legfelső szintű doménnév-nyilvántartó és a doménnév-regisztrációt végző szolgáltató a törvényben meghatározott feltételekkel mérettől függetlenül is érintett lehet. Itt a szolgáltatói minőség a döntő: egy startup attól, hogy doménnevet regisztráltat vagy felhőszolgáltatást vesz igénybe, még nem válik az adott szolgáltatás nyújtójává.

Külön jogalapot jelenthet, ha a hatóság a szervezetet alapvető vagy fontos szervezetként azonosítja. Ezt a korábbi hatósági döntések és értesítések alapján lehet ellenőrizni. Az, hogy egy startup szabályozott ágazatban működő ügyfélnek szállít, önmagában nem azonos a hatósági kijelöléssel; a saját szolgáltatását és jogállását kell megállapítani.

Milyen adatokat érdemes belülről bekérni?

A jogi, üzleti és pénzügyi felelősöknek ugyanarról a jogi személyről kell adatot adniuk. Az alábbi kérdéssor továbbküldhető a besorolás előkészítéséhez:

• Mely jogi személyek nyújtják ténylegesen a csoport szolgáltatásait, és ezek közül melyik illeszkedhet az ágazati mellékletek valamely szervezettípusához?
• Mennyi az utolsó elfogadott beszámoló szerinti foglalkoztatotti létszám, éves nettó árbevétel és mérlegfőösszeg? Új cégnél rendelkezésre áll-e tárgyévi üzleti terv?
• Kik a közvetlen és közvetett tulajdonosok, leányvállalatok és partnervállalkozások? Mekkora a tőke- és szavazati arány, ki gyakorol irányítási jogot, és készül-e összevont beszámoló?
• Nyújt-e bármely vizsgált cég mérettől függetlenül érintett szolgáltatást? Érkezett-e hatósági azonosításról vagy nyilvántartásba vételről szóló döntés?

A válaszokból jogi személyenként rögzíthető az ágazati besorolás, a méretszámítás alapja és az esetleges külön jogalap. Ha a vállalkozás a törvény hatálya alá tartozik, az SZTFH felé teljesítendő nyilvántartásba vételi adatküldést is meg kell szervezni. Ennek határidejét a hatály alá kerülés jogszabály szerinti időpontjából kell meghatározni.

Olvassa el ezt is:

• Deel vagy Remote: egy magyar dolgozónál a havi díj csak a kezdet
• DeepL vagy Google Fordító: magyar szövegnél a feladat típusa dönt
• Külföldről dolgoznál? A 183 nap önmagában nem dönti el az adózást