Kell-e nem EU-s felhő vagy SaaS szolgáltatónak egyszerre GDPR és NIS2 képviselő?

• A GDPR 27. cikk és a NIS2 26. cikk gyakran egyaránt vonatkozik nem EU-s felhő/SaaS szolgáltatókra
• A GDPR-nál nincs méretküszöb; a NIS2 a felhő/CDN/DNS szolgáltatókra vonatkozik mérettől függetlenül
• A REP27, EU Presence, DataShield Guardian és Regingada mindkét képviseletet kínálja
• A közzétett árak nagy szórást mutatnak; mindig ellenőrizze, mi tartozik bele
• A nem megfelelésért kiszabható bírság akár 10 millió euró vagy az árbevétel 2%-a lehet (GDPR)
• A kinevezési folyamat, kizárások és rejtett díjak szolgáltatónként eltérnek

Frissítve 2026. november 3. · 8 ellenőrzött forrás

Szolgáltatók összehasonlítása

Az árak az egyes szolgáltatók weboldalán 2026. november 3.-án/én közzétettek szerint, áfa nélkül, ha nincs másként jelölve. Minden sor a forrására mutat.

A jogi követelmények: GDPR 27. cikk és NIS2 26. cikk

A nem EU-s felhő- és SaaS szolgáltatók, akik az EU-t szolgálják ki, két külön jogi kötelezettséggel szembesülnek:

• GDPR 27. cikk szerinti képviselő: Bármely nem EU-s adatkezelő vagy adatfeldolgozó, aki árut/szolgáltatást kínál vagy EU-s személyeket figyel meg, köteles EU-s képviselőt kinevezni. Ez vonatkozik a SaaS és felhőszolgáltatókra is, még ha B2B szolgáltatásokat nyújtanak is, amennyiben az adatkezelés EU-s személyek adataira irányul. Nincs minimális méretküszöb – bármely nem EU-s szervezet, amely EU adatokat kezel, köteles megfelelni. (GDPR 27. cikk)
• NIS2 26. cikk szerinti képviselő: Nem EU-s felhő, DNS, CDN, menedzselt szolgáltató, piactér és közösségi platform szolgáltatóknak ki kell jelölniük egy képviselőt egy EU tagállamban, ahol szolgáltatásokat nyújtanak. Ez a kötelezettség mérettől vagy árbevételtől függetlenül vonatkozik ezekre a digitális szolgáltatásokra. (NIS2 26. cikk)

Ezek a követelmények összeadódnak. A GDPR képviselő kinevezése nem mentesít a NIS2 alól, és fordítva sem. Mindkét szerepkör az EU hatóságok és érintett személyek kapcsolattartó pontja, de eltérő jogi kereteket és jelentési kötelezettségeket fed le. A NIS2 például kötelező incidensjelentést és 2025 januárjáig történő regisztrációt ír elő, míg a GDPR az adatvédelemre és az érintettek jogaira fókuszál.

A szükséges képviselők meg nem nevezése súlyos szankciókat vonhat maga után. A GDPR megsértése akár 10 millió eurós vagy az árbevétel 2%-os bírságot eredményezhet. A NIS2 lehetővé teszi a tagállamok számára, hogy közvetlen végrehajtási intézkedéseket tegyenek a nem EU-s szolgáltatókkal szemben, még képviselő kijelölése esetén is. Ez azt jelenti, hogy a megfelelés nem csupán a képviselő kinevezéséről szól, hanem az EU hatóságokkal való folyamatos együttműködésről és válaszadásról is.

Összefoglalva, a nem EU-s SaaS és felhőszolgáltatóknak alaposan fel kell mérniük, hogy tevékenységük melyik kötelezettséget váltja ki, és ha szükséges, olyan szolgáltatót kell választaniuk, amely mindkét szerepkört ellátja.

Hogyan válasszunk: döntési mátrix nem EU-s szolgáltatóknak

A megfelelő képviselő(k) kiválasztása az üzleti modelljétől, szolgáltatásai jellegétől és ügyfélkörétől függ. Az alábbi mátrix segít tisztázni, mire van szüksége az adott helyzetben:

Gyakorlati tanácsok:

• Vizsgálja meg adatfolyamait: ha EU-s személyes adatot kezel, a GDPR vonatkozik.
• Értékelje digitális szolgáltatásait: ha felhőt, CDN-t, DNS-t vagy menedzselt szolgáltatást kínál az EU-nak, a NIS2 kötelező, akár személyes adatot kezel, akár nem.
• Piacterek: ha csak fizikai termékeket értékesít Amazonon vagy eBay-en, és nem kezel EU személyes adatot vagy nem nyújt digitális szolgáltatást, akkor termékfelelős személy szükséges, nem GDPR vagy NIS2 képviselő.
• EU-s telephely: ha cége már az EU-ban bejegyzett, ezek a kötelezettségek nem vonatkoznak rá, kivéve, ha nem EU-s anyavállalat nevében jár el.

Olyan szolgáltató választása, amely mindkét szerepkört lefedi (GDPR és NIS2), egyszerűsítheti a megfelelést, csökkentheti az adminisztratív terheket és biztosíthatja az egységes kommunikációt a hatóságokkal. Mindig erősítse meg a szolgáltató képességét mindkét kötelezettség ellátására, és ellenőrizze a közzétett árakat és szolgáltatásokat.

Mit tartalmaz (és mit nem) az ár valójában

A GDPR és NIS2 képviselet közzétett árai jelentősen eltérnek. Fontos tisztázni, hogy az egyes szolgáltatók alapdíja mit tartalmaz, és miért kérhetnek külön díjat. Íme egy összehasonlító áttekintés:

Fontos részletek a szolgáltatóktól:

• REP27: GDPR és NIS2 képviseletet, tanúsítványt, nyilvános ellenőrzést és egy szerződést kínál több szerepkörre. A GDPR ár 290 €/év-től indul; a NIS2 ára kérésre elérhető. Minden kinevezést az Europe Services SE (EU) ír alá, és ellenőrizhető tanúsítvány jár hozzá. (forrás)
• EU Presence: 127 $/hó a GDPR-ért és 327 $/hó a NIS2-ért (ár ellenőrizve a forrásoldalon). Tartalmaz incidensjelentési munkafolyamatot és lefedi mind a 27 EU tagállamot. (forrás)
• DataShield Guardian: Full Presence terv 12 000 $/évtől, amely lefedi a GDPR-t, NIS2-t, AI Act-et, menedzselt DPO-t és megfelelőségi támogatást. (forrás)
• Regingada: GDPR 490 €/év-től; NIS2 kérésre. Dokumentált továbbítást, határidőnaplózást kínál, és Németországban működik. (forrás)

Mindig kérjen részletes árajánlatot és szerződést. Sok szolgáltató nem teszi közzé az összes további díjat, például az egyes incidensek díját, hatósági válasz díjakat vagy megújítási költségeket. Ezekről kérdezzen rá aláírás előtt.

Rejtett költségek és amit a szolgáltatók általában nem mondanak el

Bár a szolgáltatók éves vagy havi díjakat hirdetnek a képviseletért, számos fontos részlet gyakran hiányzik a nyilvános anyagokból. A vásárlóknak tisztában kell lenniük a lehetséges rejtett költségekkel és kizárásokkal:

• Felmondási idő: Egyik szolgáltató sem határoz meg minimális szerződéses időt vagy felmondási időt. Mindig ellenőrizze a szerződésben ezeket a feltételeket.
• Kérések/incidensek díjai: Egyik szolgáltató sem teszi közzé az egyes incidensek vagy hatósági kérések díjait. A NIS2 esetében az incidensjelentés és hatósági kommunikáció extra költségekkel járhat. Kérjen teljes díjtáblázatot.
• Felelősségkorlátozás: Nincs nyilvános információ a felelősségkorlátozásokról vagy kizárásokról. Gyakori, hogy a szolgáltatók szerződésben korlátozzák a felelősségüket bírságok vagy károk esetén – ezt kérje el aláírás előtt.
• Szolgáltatási kizárások: Egyes szolgáltatók nem tartalmazzák az összes hatósági kommunikációt, incidenskezelést vagy tanúsítvány megújítást az alapdíjban. Például a Regingada NIS2 képviseletet csak kérésre nyújt, és az incidenskezelés részletei nem nyilvánosak. A DataShield Guardian DPO-t és megfelelőségi támogatást is kínál, de korlátozott lehet az óraszám vagy az incidensek típusa szerint.
• Ellenőrzés és dokumentáció: A REP27 nyilvános tanúsítványt és ellenőrző kódot biztosít, ami hasznos lehet a hatóságok és piacterek felé való megfelelés igazolására. Nem minden szolgáltató kínálja ezt a funkciót.

Amit a szolgáltatók általában nem mondanak el:

• Válaszolnak-e minden hatósági kérésre vagy extra díjat számolnak fel bonyolult esetekben
• Az ár tartalmaz-e folyamatos megfelelési tanácsadást vagy csak a jogi kinevezést
• Milyen gyorsan kezelik az incidensjelentéseket vagy hatósági levelezést
• Automatikusan megújul-e a szerződés, és milyen feltételekkel

A meglepetések elkerülése érdekében mindig kérje el a teljes szerződést, kérjen részletes bontást a tartalmazott és kizárt szolgáltatásokról, és tisztázza a sürgős incidensek vagy hatósági vizsgálatok kezelésének folyamatát.

A kinevezés folyamata lépésről lépésre

A GDPR és/vagy NIS2 képviselő kinevezése több konkrét lépést foglal magában. A folyamat célja, hogy a képviselő megfelelően felhatalmazott legyen, és a cég felkészüljön az EU hatóságokkal való együttműködésre és jogi kötelezettségek teljesítésére. Íme a tipikus folyamat, a REP27 példáján keresztül:

1. Kötelezettségek felmérése: Használja a fenti döntési mátrixot, hogy eldöntse, szüksége van-e GDPR és/vagy NIS2 képviselőre. Vizsgálja meg adatkezelését és az EU-nak nyújtott digitális szolgáltatásokat.
2. Szolgáltató kiválasztása: Hasonlítsa össze a szolgáltatókat közzétett árak, tartalmazott szolgáltatások és hírnév alapján. Erősítse meg, hogy a szolgáltató képes mindkét szerepkört ellátni, ha szükséges.
3. Cégadatok benyújtása: Adja meg cég jogi adatait, szolgáltatásainak leírását és EU-s ügyfeleiről vagy felhasználóiról szóló információkat. A REP27 például ezt egy fájlban kéri emberi ellenőrzésre.
4. Szolgáltató ellenőrzése: A szolgáltató átnézi az anyagot, hogy minden adat teljes és pontos legyen. A REP27 általában 24 munkanapon belül elvégzi ezt.
5. Kinevezés és aláírás: A szolgáltató törvényes képviselője aláírja a kinevezési levelet, hivatalosan képviselővé jelölve őket. A REP27 aláírt tanúsítványt, QR-kódot és ellenőrző kódot ad ki.
6. Dokumentáció átvétele: Megkapja az aláírt kinevezést, tanúsítványt és sablonszöveget az adatvédelmi tájékoztató vagy weboldal frissítéséhez. Ezek a dokumentumok elengedhetetlenek a megfelelés igazolásához hatóságok, ügyfelek és piacterek felé.
7. Jogi tájékoztatók frissítése: Frissítse adatvédelmi tájékoztatóját, weboldalát, és (NIS2 esetén) regisztrálja a képviselő elérhetőségeit a megfelelő nemzeti hatóságnál. A NIS2 regisztráció 2025 januárjáig kötelező.
8. Folyamatos együttműködés: Tartsa a kapcsolatot képviselőjével incidensjelentés, hatósági megkeresések és megfelelőségi frissítések ügyében. Ismerje meg a sürgős értesítések és válaszidők folyamatát.

Vásárlói ellenőrzőlista:

1. Erősítse meg, hogy kezel-e EU személyes adatot vagy nyújt-e felhő/digitális szolgáltatást az EU-nak.
2. Ellenőrizze, hogy mindkét kötelezettség (GDPR és NIS2) vonatkozik-e rá.
3. Gyűjtse össze a szükséges cégdokumentumokat és szolgáltatásleírásokat.
4. Keresse meg a szolgáltatókat teljes árajánlatért és szerződésért, kérdezzen rá a további díjakra.
5. Vizsgálja át a szerződés feltételeit, beleértve a felmondási időket és felelősségkorlátozásokat.
6. Kinevezze képviselőjét és vegye át a dokumentációt.
7. Frissítse adatvédelmi tájékoztatóját és regisztráljon a hatóságoknál, ha szükséges.
8. Állítson fel belső folyamatokat incidensjelentésre és hatósági kommunikációra.

Ezekkel a lépésekkel biztosítható az EU jogi követelményeinek való megfelelés és a költséges végrehajtási intézkedések elkerülése.

Kockázatok, bírságok és végrehajtás

A GDPR 27. cikk vagy a NIS2 26. cikk megsértése jelentős jogi és pénzügyi kockázatokat jelent a nem EU-s felhő- és SaaS szolgáltatók számára. Ezek megértése elengedhetetlen a megalapozott döntéshozatalhoz:

• GDPR: A GDPR képviselő meg nem nevezése önmagában jogsértés, amely akár 10 millió eurós vagy a globális éves árbevétel 2%-os bírságot vonhat maga után, a magasabb összeg szerint. Ezek a bírságok a GDPR egyéb megsértései mellett is kiszabhatók. A hatóságok blokkolhatják szolgáltatásait az EU-ban vagy töröltethetik az illegálisan kezelt adatokat.
• NIS2: A NIS2 szerint a tagállamok közvetlen végrehajtási intézkedéseket tehetnek a nem EU-s szolgáltatókkal szemben, ha nem neveznek ki képviselőt. Ez magában foglalhat vizsgálatokat, szolgáltatásblokkolást és adminisztratív szankciókat. A képviselő nem védi meg a szolgáltatót a végrehajtástól, csupán helyi kapcsolattartó pontot biztosít a hatóságoknak.
• Regisztrációs határidők: A NIS2 előírja, hogy a nem EU-s szolgáltatók 2025. január 17-ig regisztrálják képviselőjük elérhetőségét a megfelelő nemzeti hatóságnál. Ennek elmulasztása azonnali megfelelési intézkedéseket vonhat maga után.
• Incidensjelentés: A NIS2 kötelezi a szolgáltatókat, hogy jelentős biztonsági incidensekről haladéktalanul értesítsék képviselőjüket. A késedelmes vagy elmulasztott jelentés további büntetéseket és reputációs károkat eredményezhet.
• Reputációs kockázat: Nyilvános végrehajtási intézkedések vagy szolgáltatásblokkolás károsíthatja márkáját és csökkentheti ügyfelei bizalmát, különösen az adatvédelmi és biztonsági szempontból érzékeny EU piacon.

A kockázatok mérséklése érdekében nevezzen ki képzett képviselőt, tartsa naprakészen a dokumentációt, és alakítson ki világos belső folyamatokat az incidenskezelésre és hatósági kommunikációra. Rendszeresen vizsgálja felül megfelelőségi állapotát és frissítse képviselője adatait üzleti fejlődése szerint.

Reális forgatókönyvek: mi vonatkozik és a legegyszerűbb út

Az alábbiakban három gyakorlati példa mutatja be, hogyan alkalmazandók a szabályok és melyik a legegyszerűbb megfelelési út:

• 1. forgatókönyv: amerikai SaaS cég, amely B2B és B2C szolgáltatásokat nyújt EU-s ügyfeleknek
  Kötelezettségek: Mindkét GDPR 27. cikk és NIS2 képviselő szükséges. A cég EU személyes adatokat kezel (GDPR) és felhőalapú szolgáltatásokat nyújt (NIS2).
  Megfelelési út: Olyan szolgáltató kinevezése (pl. REP27), amely mindkét szerepkört lefedi. Adatvédelmi tájékoztató frissítése képviselői adatokkal, regisztráció a NIS2 hatóságnál, belső incidenskezelési és hatósági kommunikációs folyamatok kialakítása.
• 2. forgatókönyv: kínai Amazon eladó, aki csak fizikai árut exportál az EU-ba
  Kötelezettségek: Termékfelelős személy szükséges a termékbiztonság miatt. GDPR vagy NIS2 képviselő nem kell, hacsak nem kezel EU személyes adatot vagy nem nyújt digitális/felhő szolgáltatást.
  Megfelelési út: Termékfelelős személy kinevezése (nem tárgyalt itt), termékcímkézés és dokumentáció biztosítása, ellenőrzés, hogy digitális szolgáltatás vagy adatkezelés nem vált-e ki további kötelezettséget.
• 3. forgatókönyv: brit online áruház, amely EU fogyasztóknak értékesít
  Kötelezettségek: GDPR képviselő szükséges, ha EU személyes adatot kezel. NIS2 csak akkor vonatkozik, ha felhő vagy digitális szolgáltatást is nyújt (nem tisztán e-kereskedelem).
  Megfelelési út: GDPR képviselő kinevezése (pl. REP27), adatvédelmi tájékoztató frissítése, ellenőrzés, hogy szükséges-e NIS2 képviselő. Ha nem, további teendő nincs NIS2 ügyben.

Ezek a példák mutatják, hogy a kötelezettségek a vállalkozás és szolgáltatások jellegétől függenek. Mindig végezzen részletes felmérést és konzultáljon olyan szolgáltatóval, aki jártas mind a GDPR, mind a NIS2 képviseletben.