Hungría concluye primeras auditorías de ciberseguridad bajo NIS2
El SZTFH informa que más de 2.100 organizaciones cumplieron la auditoría de ciberseguridad exigida hasta junio de 2026; casi el 90% superó los requisitos y el 10% recibió la máxima calificación.
Puntos clave
- La SZTFH reportó que 2.194 organizaciones cumplieron la auditoría de ciberseguridad antes de junio de 2026.
- El 90% de los sujetos auditados alcanzó los requisitos regulatorios y el 10% obtuvo calificación máxima.
- Las auditorías responden a la transposición nacional de la Directiva NIS2 y serán obligatorias cada dos años.
- Solo auditores registrados pueden realizar las auditorías y deben remitir sus informes al SZTFH en 7 días.
- Las revisiones detectaron carencias en documentación pese al cumplimiento generalizado de medidas técnicas.
La Autoridad de Supervisión de Actividades Reguladas de Hungría (SZTFH) confirmó que 2.194 organizaciones completaron su primera auditoría de ciberseguridad antes del 30 de junio de 2026. Casi el 90% cumplió satisfactoriamente los requisitos regulatorios, mientras que aproximadamente un 10% obtuvo la máxima calificación, "Cumplimiento con riesgo despreciable". Estos resultados reflejan la entrada en vigor de la armonización legal derivada de la Directiva NIS2 del Parlamento Europeo y del Consejo.
Obligaciones según la auditoría de ciberseguridad NIS2 en Hungría
La Directiva NIS2 impone a los Estados miembros la exigencia de adoptar políticas estrictas de ciberseguridad. En Hungría, esta normativa fue implementada mediante la Ley de ciberseguridad para organizaciones consideradas de riesgo elevado o significativo, especialmente aquellas que alcancen o superen el tamaño de una mediana empresa. Se incluyen entidades bajo mayoría estatal. La periodicidad es clara: auditoría obligatoria cada dos años.
Quedan exceptuadas las microempresas, pero el alcance incluye:
- Proveedores de servicios electrónicos de comunicaciones
- Proveedores de servicios de confianza y DNS
- Operadores de registro de dominios de nivel superior
- Empresas de registro de nombres de dominio
Procedimiento de las auditorías de ciberseguridad y agentes autorizados
Solo auditores registrados en el SZTFH están habilitados para realizar estas auditorías. Tras concluir el proceso, los auditores deben presentar el informe correspondiente a la Autoridad dentro de un plazo de 7 días. Este mecanismo garantiza trazabilidad y respuesta oportuna ante riesgos detectados durante las auditorías.
El proceso examinó especialmente la administración de soluciones que permiten acceso remoto a los sistemas empresariales. Muchas organizaciones demostraron operar estas soluciones de manera segura. Sin embargo, el reporte evidenció deficiencias frecuentes en la documentación adecuada de estos sistemas, aspecto relevante tanto para el cumplimiento regulatorio como para la gestión de riesgos futuros.
"La obligación de auditoría representa una etapa clave en la aplicación de la regulación comunitaria de ciberseguridad implementada en la legislación nacional", destacó la SZTFH en su comunicado oficial.
Impacto y áreas de mejora tras la auditoría obligatoria
Los resultados de estas primeras auditorías no solo buscan asegurar el cumplimiento. También brindan retrospectiva sobre oportunidades de mejora y desarrollo futuro en la madurez organizacional de ciberseguridad. El proceso ha servido como plataforma de retroalimentación y no es visto como un fin en sí mismo, sino como una fase de avance continuo.
La SZTFH anunció que mantendrá el monitoreo permanente del cumplimiento de los requisitos y continuará apoyando estándares elevados en el control del riesgo cibernético para el sector empresarial del país.
Seguimiento del cumplimiento y próximos pasos
Tras el cierre de la primera ronda, la SZTFH subrayó su compromiso de vigilancia y mejora continua en los procesos de ciberseguridad de las empresas sujetas a regulación. En adelante, se mantendrá la frecuencia bianual de las auditorías tanto para nuevos sujetos obligados como para quienes deban renovar su conformidad.
El sector debe prepararse para inspecciones recurrentes, considerando tanto los desafíos técnicos como los requisitos documentales que han mostrado lagunas en la revisión inicial. La experiencia obtenida en esta primera ola crea la base para siguientes ciclos de cumplimiento, integración de mejores prácticas, y progresiva adaptación a nuevas disposiciones regulatorias en el ámbito europeo y nacional relacionados con regulación y gobernanza corporativa.
Preguntas frecuentes
¿Quiénes están obligados a realizar la auditoría de ciberseguridad NIS2 en Hungría?
Las organizaciones de riesgo elevado o significativo del tamaño de una mediana empresa o superior, incluidos entes con mayoría estatal, así como proveedores de servicios electrónicos, confianza y DNS, operadores y registradores de dominios, salvo microempresas, deben someterse a la auditoría obligatoria cada dos años según la normativa húngara.
¿Quién puede realizar la auditoría y cuál es el plazo para informar los resultados?
Solo auditores registrados por la SZTFH están autorizados y deben entregar el informe al regulador en un máximo de 7 días tras concluir la auditoría, lo que garantiza control inmediato y cumplimiento regulatorio.
¿Cuáles fueron los principales hallazgos de las auditorías de ciberseguridad?
Casi todas las empresas auditadas cumplieron las exigencias técnicas, pero se detectaron recurrentes deficiencias en la documentación de los sistemas, especialmente los relacionados con acceso remoto seguro.
¿Qué porcentaje de las organizaciones obtuvo la máxima calificación?
Cerca del 10% de las organizaciones auditadas logró la categoría de "Cumplimiento con riesgo despreciable", la puntuación más alta del proceso evaluador.
¿Cómo continúa el seguimiento del cumplimiento en ciberseguridad?
La SZTFH supervisará periódicamente el cumplimiento y exige auditorías bianuales, usando los resultados para retroalimentar y optimizar futuros procesos regulatorios y técnicos en el sector.
Etiquetas
Sobre el autor
Miguel Sandoval
Corresponsal de regulación
Miguel Sandoval sigue la legislación del juego, las licencias y las medidas de los reguladores: de la DGOJ española y las autoridades latinoamericanas a la UKGC, la MGA y el mapa estado por estado en Norteamérica. Sus artículos responden con precisión a tres preguntas — qué cambió, dónde y a quién afecta — con jurisdicciones, fechas y sanciones citadas tal como se publicaron. Operadores y responsables de cumplimiento leen a Miguel Sandoval para saber qué normativa se movió antes de su próxima reunión.
Más de Miguel Sandoval
