ATAILA Sajtószoba · Budapest · 2026. augusztus 28.

Kilencven százalék megfelelt. Tíz százalék bizonyítani is tudta.

Lezárult Magyarország első kötelező kiberbiztonsági auditköre. A Telex által közölt SZTFH-adatok szerint 2194 szervezet fejezte be az auditot a meghosszabbított június 30-i határidőig, közel 90 százalékuk megfelelt, és mindössze 10 százalék kapta meg a legjobb minősítést, az „elhanyagolható kockázattal megfelelt” besorolást. Mindkét szám megérdemli a figyelmet. A második az érdekesebb.

Mit mondanak a számok

Egy pontosítás, amit a főcím megkíván, a cikk szövege pedig meg is ad: ez az auditot befejezők 90 százaléka, nem a magyar cégek 90 százaléka. Az érintetti kör nagyobb, az SZTFH több mint 2500-ra tette, és jelentős számban voltak, akik a bejelentkezési kötelezettségüknek sem tettek eleget, őket a hatóságnak kellett felszólítania. A 90 százalék tehát ennek a 2194 szervezetnek a megfelelési aránya, nem az ország egészéről szóló helyzetkép. A bejelentkezés vagy az audit elmulasztása 150 millió forintig terjedő bírsággal jár.

Ami jár, az jár: kétezernél több szervezetet végigvinni egy valódi auditon komoly eredmény, és ezt illik kimondani. Minket az a rés érdekel, amit ugyanez az adatsor megmutat.

A megfelelés és a bizonyítás közötti távolság

Tízből kilenc megfelelt. Tízből egyről mondták ki, hogy elhanyagolható kockázatot hordoz. Ez nem ellentmondás, és nem is botrány. Ez a hétköznapi távolság aközött, hogy van kontrollod, és aközött, hogy be is tudod mutatni.

Az eredményekben nevesített rendszerszintű hiányosság jobban elmondja ezt, mint mi tudnánk: a szervezetek a vállalati rendszerek távoli elérését lehetővé tevő megoldásokat helyezték előtérbe, a rendszerek dokumentáltsága viszont gyakran hiányos volt. Nem a kontroll. A kontroll dokumentációja.

Aki volt már auditon, tudja, miért. Az auditra írt dokumentáció aznap pontos, amikor megírják, és a következő hétfőn kezd avulni, mert a rendszer változik tovább, a dokumentum meg nem. Két év múlva valaki emlékezetből újraírja. Ez a körforgás a legjobb magyarázatunk a két szám közötti különbségre. A mi olvasatunk, nem SZTFH-megállapítás.

Mi mit csinálunk helyette, és miért nem trükk

Nálunk a rendszer kódból épül. Ugyanaz a Terraform és Ansible, ami létrehoz egy hálózatot, egy adatbázist vagy egy GPU-s gépet, egyben a nyilvántartás is arról, hogy mi létezik. A hozzáférés egyetlen identitáskezelőn megy át, tehát a „ki éri el ezt távolról” kérdésre lekérdezés a válasz, nem emlékezet. A változás pedig jóváhagyáshoz kötött folyamaton keresztül kerül élesbe. A folyamat naplózza, ki mit léptetett elő és mikor.

Ebben semmi ravasz nincs. Így néz ki az infrastruktúra, ha te üzemelteted, nem pedig egyszer összerakod és reménykedsz. Az audit előnye ebből következik, de ne túlozzuk el a mértékét. Elcsúszás így is lesz, mert hajnali kettőkor valaki mindig megjavít valamit kézzel. A különbség az, hogy hol derül ki: a kódtól való eltérésként, amikor a folyamat legközelebb lefut, nem pedig meglepetésként két évvel később. A rendezése így változáskérés lesz, nem régészet.

Amit júniusban senki nem auditált

A következő rész a mi érvünk, nem a jelentés megállapítása. Ezt nyíltan jelezzük, mert a jelentés nem mondja.

Júniusban a 2194 szervezet közül jó eséllyel egyiknél sem volt AI a vizsgálat hatókörében. Két év múlva soknál lesz: modelltár, GPU-s gépek, egy kiszolgáló végpont, promptok és válaszok naplói, és egy ügynök, aminek saját belépési adatai vannak. Ez a felület felteszi az összes kérdést, amit a NIS2 már ma is feltesz, és még jó néhányat, amire ma nincs szavunk. Melyik modellverzió válaszolt. Ki érte el a végpontot. Honnan jöttek a súlyok, és megvan-e még az a forrás. Nézte-e ember az automatikus döntést, és rögzítették-e, hogy nézte.

Ha 2026-ban a távoli elérés dokumentáltsága volt a gyenge pont, 2028-ra az AI-rendszereké lehet ugyanaz. Sokkal könnyebb olyan rendszert építeni, amelyik ezekre magától válaszol, mint audit közben visszafejteni a válaszokat.

A kérdés, amit érdemes házon belül feltenni

Nem az, hogy „megfeleltünk-e”, hanem ez: ha az auditor jövő kedden bejelentés nélkül visszajönne, a válasz mekkora részét adná ki maga a rendszer, és mekkorát kellene embernek megírnia? Ez a két szám aránya az őszinte eredmény, és ez az, ami 2028-ban is igaz lesz.