A hatóságot átvilágítják. A négy dokumentumot továbbra is tőled kérik.

Mit mond ki maga a közlemény

A közlemény két részből áll. Az első rész a hatóság önképe: törvénnyel létrehozott, az Országgyűlésnek beszámoló önálló szabályozó szerv, amely 2021. október 1. óta működik. A második rész a felügyelt ágazatok eredményeit sorolja fel: szerencsejáték-szektor, dohánypiac, bányászati és földtani szakterület, kiberbiztonság, mellettük az ESG és további területek. A kiberbiztonságnál a hatóság a nemzeti auditkeretrendszer felállítását és az első auditkör eredményét említi. Az első auditkör számairól augusztusban külön írtunk, itt nem ismételjük meg őket. A közlemény azt is leírja, hogy a hatóság olvasatában bizonyos uniós eredetű feladatokat a kormányzattól független szervnek kell ellátnia. Ebben nem foglalunk állást. A közlemény azzal zárul, hogy a hatóság a jogszabályi keretek között együttműködik a határozatban kijelölt miniszterrel a jogi átvilágításban.

Legalább ennyire fontos, amit a közlemény nem tartalmaz. Nincs benne a határozat rendelkező része, nincs benne határidő, és nincs benne, mire irányul az átvilágítás. Ezek a sajtóból derülnek ki. Az Index, az Infostart és az Economx beszámolói szerint a határozat a hatóság átvilágítását rendeli el, és az igazságügyi minisztert jelentés készítésével bízza meg, többek között arról, hogyan valósítható meg a hatóság megszüntetése és feladatainak kormányzati irányítás alá tartozó szervekhez telepítése. A jelentés határideje 2026. szeptember 30. Ez a dátum a sajtóból származik, az SZTFH közleményében nem szerepel.

A kötelezettség címzettje ugyanaz marad: a cég

A szabályozott cég szempontjából a NIS2 három rétegből áll. Az első az uniós irányelv. A második a magyar kiberbiztonsági törvény, amely meghatározza a kötelezetti kört és a biztonsági osztályba sorolást, és előírja a kötelező védelmi intézkedéseket, a kétévente esedékes auditot és az incidensbejelentést. A harmadik a felügyeleti hatóság, amely mindezt ellenőrzi. A Kormányhatározat a harmadik rétegről szól. Az első kettőhöz nem nyúl.

A gyakorlatban ez azt jelenti, hogy a nyilvántartásba vétel, a besorolás, a védelmi intézkedések és a bejelentés a cég kötelezettsége marad, bárki felügyeli is. Ha a szeptember 30-i jelentés azt javasolja, hogy a feladatok más szervhez kerüljenek, és a kormány ezt később el is fogadja, akkor az auditjelentésedet és az incidensbejelentésedet másik szerv olvassa majd, más fejléccel. A dokumentumok tartalma ettől egy betűvel sem változik. Ha a jelentés azt javasolja, hogy maradjon minden a régiben, még ennyi sem történik.

A felügyelt cég szemszögéből az intézményi átszervezés címváltozás. Akinek rendezett aktája van, annak ez adminisztráció. Akinek nincs, annak az átszervezés semmit sem old meg, mert a hiány ugyanott marad.

Négy dolog, amit az átszervezés nem ír át

Az auditor, bárki küldi, ugyanazt a négy dolgot kéri. Ez a négy dolog bármilyen hatósági átvilágítást túlél, mert a cégnél van, és bármikor elő lehet venni.

• Eszközleltár. Melyik rendszer létezik, hol fut, ki üzemelteti, milyen adat van benne. Ide tartozik minden AI-szolgáltatás is, amelyet a kollégák használnak, akár hivatalos beszerzés nélkül.
• Aktuális auditjelentés. Az utolsó audit eredménye, a feltárt hiányosságok és a hozzájuk rendelt intézkedések állapota. A két évvel ezelőtti jelentés önmagában kevés. A folyamatosan vezetett intézkedési lista viszont sokat ér.
• Incidensnapló. Mi történt, mikor, ki vette észre, mit tettek, és mikor jelentették. Az irányelv 24 órán belüli korai figyelmeztetést és 72 órán belüli bejelentést ír elő. Ezt csak az tudja tartani, aki az esemény idejét és a megtett lépéseket rögzíti.
• Hozzáférési nyilvántartás. Ki mihez fért hozzá, mikor, és ki engedélyezte. Jellemzően ez hiányzik, mert jogosultságot mindenki oszt ki, de kevesen tartják nyilván.

Mit gondolunk, beleértve azt is, ami ellenünk szól

Három ponton gyenge a saját érvünk. Ezeket nyíltan leírjuk.

Először: a Kormányhatározat vizsgálatot rendel el, és jelentést kér szeptember 30-ra. Döntés nem született. A hatóság akár változatlan formában is működhet tovább, és a saját közleménye szerint együttműködik az átvilágításban. Aki ebből azt olvassa ki, hogy a felügyelet megszűnik, többet olvas ki belőle, mint ami benne van. Mi nem tudjuk, mi lesz a jelentésben, és nem is találgatunk.

Másodszor: ez intézményi és belpolitikai ügy egy kormányváltás után. Arról, hogy melyik magyar hatóságnak kellene léteznie, egy szállítónak nincs mondanivalója, és nem is illik, hogy legyen. Aki ilyen helyzetben egy hatóság mellett vagy ellen foglal állást, hogy közben eladjon valamit, éppen azoknak a szabályozott cégeknek a szemében veszíti el a hitelét, amelyekkel dolgozni szeretne. Ezért ez a cikk egyetlen dologról szól: arról, ami a felügyelt cégnél van, és ami bármelyik intézményi kimenetel mellett ugyanaz marad.

Harmadszor, és ez a döntő pont: a NIS2-auditbizonyíték biztonságirányítási és dokumentációs fegyelem kérdése. A fenti négy dokumentumot a privát, európai hardveren futó AI-infrastruktúra nem állítja elő. Mi ilyen infrastruktúrát üzemeltetünk. Ha azt sugallnánk, hogy a megfelelést a platformunk hozza, a megfelelés hitelét használnánk fel egy infrastruktúra-termék eladásához. Ezt nem tesszük. A platformunk egy tétel lesz az eszközleltáradban: ismert hely, ismert üzemeltető, és a naplók nálad vannak. Az eszközleltár vezetése, az intézkedési lista karbantartása és a hozzáférések nyilvántartása a te biztonságirányítási rendszered feladata marad akkor is, ha az AI-t nálunk futtatod.

Ami ebből ránk marad, az őszintén szólva szűk sáv. Az a nyilvános AI-előfizetés, amelyet egy kolléga bankkártyával intézett el, gyakran kimarad az eszközleltárból, és a naplói egy másik kontinensen vannak. A céges bejelentkezés mögött, megnevezett helyen üzemeltetett rendszer bekerül a leltárba, és a naplói nálad vannak. Ez egyetlen sor a leltárban, ellenőrizhető adatokkal. A leltár többi része a te munkád.

Hol állunk

A felügyeleti rendszer jövője az Országgyűlés és a kormány dolga. A mi dolgunk annyi, hogy amit egy cég nálunk futtat, az rendezett tétel legyen az eszközleltárában. A Privát ChatGPT nyílt súlyú modelleket futtat privát, európai GPU-n, céges bejelentkezés mögött. A promptok, dokumentumok, naplók és embeddingek a platformon maradnak, EU-s infrastruktúrán, amerikai adatfeldolgozó nélkül. Az adat nem hagyja el a céget. A választott kiadástól függően ez a mi európai hardverünkön fut, vagy a tiéden. Amit az ATAILA-n építesz, az a tiéd: a kód, az adat, a fájlok, a szellemi tulajdon, kilépési garanciával, ahogy a tulajdon oldalon olvasható. Ha a saját irányítási rendszeredhez architektúra-audit vagy biztonsági audit kell, azt külön szolgáltatásként vállaljuk, a platformtól függetlenül is.

Ha ezen a héten egy kérdést érdemes hazavinni, legyen ez. Ha holnap más szerv fejlécével érkezne a felügyeleti levél, az aktádban egyetlen dolognak szabadna változnia, a címzettnek. Ha ennél több változna, az akta ma sincs készen.

Útmutatók: Privát AI cégeknek · Privát ChatGPT · Privát AI hosting · Privát AI platform · Saját privát AI · GDPR-megfelelő AI