305/2023. (VII. 11.) Korm. rendelet
a kiberbiztonsági bírságok mértékéről, a bírság kiszabásának és befizetésének részletes eljárási szabályairól
A Kormány a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény 28. § (1) bekezdés a) pontjában kapott felhatalmazás alapján, az Alaptörvény 15. cikk (1) bekezdésében meghatározott feladatkörében eljárva a következőket rendeli el:
1. §[1] (1) A kiberbiztonsági tanúsító hatóság feladatait a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény (a továbbiakban: Kibertan.tv.) 4. § (1) bekezdés a) pontja alapján ellátó Szabályozott Tevékenységek Felügyeleti Hatósága (a továbbiakban: Hatóság), valamint a hadiipari kutatással, fejlesztéssel, gyártással és kereskedelemmel összefüggő kiberbiztonsági tanúsító hatósági feladatok tekintetében a Kormány által a Kibertan.tv. 4. § (1) bekezdés b) pontja alapján kijelölt hatóság (a továbbiakban együtt: tanúsító hatóság) a Kibertan.tv. 15. § (2) bekezdése alapján az európai uniós jogi aktusok és a magyar jogszabályok megsértése (a továbbiakban: szabálytalanság) miatt az 1. mellékletben meghatározott mértékű bírságot szab ki.
(2) A Kibertan.tv. 22. § (1) bekezdése alapján a Hatóság mint a kiberbiztonsági felügyeletet ellátó hatóság (a továbbiakban: felügyeleti hatóság), a Kibertan.tv. 24. § (2) bekezdése szerint a Kibertan.tv. 17. § (1) bekezdése szerinti érintett szervezettel szemben a 2. mellékletben meghatározott mértékű bírságot szab ki.
2. § (1)[2] A kiszabott bírságot a tanúsító hatóság vagy a felügyeleti hatóság határozatának véglegessé válását követő 8 napon belül kell megfizetni a tanúsító hatóság vagy a felügyeleti hatóság határozatban megjelölt, Magyar Államkincstárnál vezetett számlájára.
(2) Több szabálytalanság együttes fennállása esetén a bírság kiszabható legnagyobb mértéke az egyes szabálytalanságokért kiszabható bírságok legnagyobb mértékének összege.
(3)[3] A tanúsító hatóság a bírságot ugyanazon tényállás mellett a Kibertan.tv. 15. § (1) bekezdése alapján meghatározott határidő eredménytelen elteltét követően ismételten kiszabhatja.
3. § Ez a rendelet a kihirdetését követő 16. napon lép hatályba.
4. §[4] (1) Az 1. § (1) bekezdése, a 2. § és az 1. melléklet az ENISA-ról (az Európai Uniós Kiberbiztonsági Ügynökségről) és az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról, valamint az 526/2013/EU rendelet hatályon kívül helyezéséről (kiberbiztonsági jogszabály) szóló, 2019. április 17-i (EU) 2019/881 európai parlamenti és tanácsi rendelet 65. cikke végrehajtásához szükséges rendelkezéseket állapít meg.
(2) Az 1. § (2) bekezdése, a 2. § (1) és (2) bekezdése, valamint a 2. melléklet az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről, valamint a 910/2014/EU rendelet és az (EU) 2018/1972 irányelv módosításáról és az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (NIS 2 irányelv) szóló, 2022. december 14-i (EU) 2022/2555 európai parlamenti és tanácsi irányelv 36. cikkének való megfelelést szolgálja.
5. §[5]
Orbán Viktor s. k.,
miniszterelnök
1. melléklet a 305/2023. (VII. 11.) Korm. rendelethez
A tanúsító hatóság által kiszabható bírság mértéke[6]
| A | B | C | |
| 1. | A szabálytalanság megnevezése | A bírság legkisebb mértéke forintban meghatározva | A bírság legnagyobb mértéke forintban meghatározva |
| 2. | Megfelelőségi önértékelés esetén az uniós megfelelőségi nyilatkozatnak az (EU) 2019/881 európai parlamenti és tanácsi rendelet 53. cikk (3) bekezdésében előírt megküldési kötelezettség nemteljesítése a tanúsító hatóság és az Európai Uniós Kiberbiztonsági Ügynökség részére | 50 000 | 100 000 |
| 3. | Megfelelőségi önértékelés esetén a Kibertan.tv. 11. § (3) bekezdésében előírt dokumentumok megküldésére vonatkozó kötelezettség nemteljesítése a tanúsító hatóság részére | 50 000 | 100 000 |
| 4. | A Kibertan.tv. 12. §-ában foglalt feltételeknek nem megfelelő szervezet általi megfelelőségértékelési tevékenység végzése | 1 000 000 | 50 000 000 |
| 5. | Megfelelőségi jelölés Kibertan.tv. 10. § (2) bekezdése szerinti jogosulatlan használata | 300 000 | 50 000 000 |
| 6. | A Kibertan.tv. 14. § (5) bekezdése szerinti adatszolgáltatás elmulasztása | 50 000 | 5 000 000 |
| 7. | A Kibertan.tv. 9. § (3) bekezdésében meghatározott, a sebezhetőség vagy rendellenesség bejelentésére irányuló kötelezettség teljesítésének elmulasztása | 300 000 | 5 000 000 |
| 8. | Az A:2-A:7 mezőben nem szereplő, a tanúsító hatóság által feltárt, a Kibertan.tv. 15. § (1) bekezdése szerinti hiányosságok alapján a szükséges módosítások végrehajtásának, intézkedések megtételének elmulasztása | 200 000 | 10 000 000 |
2. melléklet a 305/2023. (VII. 11.) Korm. rendelethez[7]
Az érintett szervezettekkel szemben kiszabható bírság mértéke
| A | B | C | |
| 1. | A szabálytalanság megnevezése | A bírság legkisebb mértéke | A bírság legnagyobb mértéke |
| 2. | A Kibertan.tv. 26. § (1) bekezdése szerinti nyilvántartásba vétel érdekében történő adatszolgáltatás nem teljesítése | az érintett szervezet előző üzleti évi nettó árbevételének - árbevétel hiányában a tárgyévi árbevétel egész évre vetített időarányos részének -, vagy előző évi költségvetési bevételi előirányzatának 0,5%-a, de legalább 1 000 000 forint | az érintett szervezet előző üzleti évi nettó árbevételének - árbevétel hiányában a tárgyévi árbevétel egész évre vetített időarányos részének -, vagy előző évi költségvetési bevételi előirányzatának legfeljebb 2%-a, de legfeljebb 150 000 000 forint |
| 3. | A Kibertan.tv. 26. § (1) bekezdése szerinti nyilvántartásba vétel érdekében történő adatszolgáltatás határidőn túl történő teljesítése | 50 000 forint | az érintett szervezet előző üzleti évi nettó árbevételének - árbevétel hiányában a tárgyévi árbevétel egész évre vetített időarányos részének - vagy előző évi költségvetési bevételi előirányzatának legfeljebb 0,1%-a, de legfeljebb 15 000 000 forint |
Lábjegyzetek:
[1] Megállapította a 186/2024. (VII. 8.) Korm. rendelet 1. §-a. Hatályos 2024.10.18.
[2] Módosította a 186/2024. (VII. 8.) Korm. rendelet 5. § a) pontja. Hatályos 2024.10.18.
[3] Megállapította a 186/2024. (VII. 8.) Korm. rendelet 2. §-a. Hatályos 2024.10.18.
[4] Megállapította a 186/2024. (VII. 8.) Korm. rendelet 3. §-a. Hatályos 2024.10.18.
[5] Hatályon kívül helyezve a 2010. évi CXXX. törvény 12-12/B. §-a alapján.
[6] A címet módosította a 186/2024. (VII. 8.) Korm. rendelet 5. § b) pontja. Hatályos 2024.10.18.
[7] Beiktatta a 186/2024. (VII. 8.) Korm. rendelet 4. §-a. Hatályos 2024.10.18.