Kilencven százalék megfelelt. Tíz százalék bizonyítani is tudta.

Mit mondanak a számok

A főcím pontosítást kíván, a cikk szövege pedig meg is adja: ez az auditot befejezők 90 százaléka, nem a magyar cégek 90 százaléka. Az érintetti kör nagyobb: az SZTFH több mint 2500-ra tette. Jelentős számban voltak, akik a bejelentkezési kötelezettségüknek sem tettek eleget, őket a hatóságnak kellett felszólítania. A 90 százalék tehát ennek a 2194 szervezetnek a megfelelési aránya, nem az ország egészéről szóló helyzetkép. A bejelentkezés vagy az audit elmulasztása 150 millió forintig terjedő bírsággal jár.

Ami jár, az jár: kétezernél több szervezetet végigvinni egy valódi auditon komoly eredmény, és ezt illik kimondani. Minket az a rés érdekel, amit ugyanez az adatsor megmutat.

A megfelelés és a bizonyítás közötti távolság

Tízből kilenc megfelelt. Tízből egyről mondták ki, hogy elhanyagolható kockázatot hordoz. A kettő között hétköznapi távolság van: az egyik, hogy van kontrollod, a másik, hogy be is tudod mutatni. Ellentmondás nincs benne, botrány sem.

Az eredményekben nevesített rendszerszintű hiányosság pontosan erről szól: a szervezetek előtérbe helyezték a vállalati rendszerek távoli elérését biztosító megoldásokat, a rendszerek dokumentáltsága viszont gyakran hiányos volt. A hiány a kontroll dokumentációjában volt, nem a kontrollban.

Aki volt már auditon, tudja, miért. Az auditra írt dokumentáció aznap pontos, amikor megírják, és a következő hétfőn kezd avulni, mert a rendszer változik tovább, a dokumentum meg nem. Két év múlva valaki emlékezetből újraírja. Szerintünk ez a körforgás magyarázza a két szám közötti különbséget. Ez a mi olvasatunk, nem SZTFH-megállapítás.

Mi mit csinálunk helyette, és miért nem trükk

Nálunk a rendszer kódból épül. Ugyanaz a Terraform és Ansible, amelyik a hálózatot, az adatbázist vagy a GPU-s gépet létrehozza, egyben nyilvántartja is, hogy mi létezik. A hozzáférés egyetlen identitáskezelőn megy át, tehát a „ki éri el ezt távolról” kérdésre lekérdezés a válasz, nem emlékezet. A változást jóváhagyáshoz kötött folyamat viszi élesbe. A folyamat naplózza, ki mit léptetett elő és mikor.

Ebben semmi ravasz nincs. Így néz ki az infrastruktúra, ha te üzemelteted, és nem egyszer összerakod, majd reménykedsz. Az audit előnye ebből következik, de ne túlozzuk el a mértékét. Elcsúszás így is lesz, mert hajnali kettőkor valaki mindig megjavít valamit kézzel. Az számít, hol derül ki. Nálunk akkor, amikor a folyamat legközelebb lefut és eltérést jelez a kódtól, nem pedig meglepetésként két évvel később. A rendezése így változáskérés, nem régészkedés.

Amit júniusban senki nem auditált

A következő rész a mi érvünk, nem a jelentés megállapítása. Ezt nyíltan jelezzük, mert a jelentés nem mondja.

Júniusban a 2194 szervezet közül jó eséllyel egyiknél sem volt AI a vizsgálat hatókörében. Két év múlva soknál lesz: modelltár, GPU-s gépek, kiszolgáló végpont, a promptok és válaszok naplói, és olyan ügynök, amelynek saját belépési adatai vannak. Ez a felület felveti az összes kérdést, amelyet a NIS2 már ma is feltesz, és még jó néhányat, amire ma még nincs szavunk. Melyik modellverzió válaszolt. Ki érte el a végpontot. Honnan jöttek a súlyok, és megvan-e még az a forrás. Nézte-e ember az automatikus döntést, és rögzítették-e, hogy nézte.

Ha 2026-ban a távoli elérés dokumentáltsága volt a gyenge pont, 2028-ra az AI-rendszereké lehet ugyanaz. Sokkal könnyebb olyan rendszert építeni, amelyik ezekre magától válaszol, mint audit közben visszafejteni a válaszokat.

A kérdés, amit érdemes házon belül feltenni

A „megfeleltünk-e” kérdésnél többet ér ez: ha az auditor jövő kedden bejelentés nélkül visszajönne, a válasz mekkora részét adná ki maga a rendszer, és mekkorát kellene embernek megírnia? Ez a két szám aránya az őszinte eredmény, és ez 2028-ban is igaz lesz.