I. rész — Helyzetkép

A Magyar Államkincstár augusztus 11-én adott ki közleményt a rendszereit ért betörésről. A közlemény szerint „a jelenlegi információk alapján a támadás ügyfél-, illetve állampolgári adatokat nem érintett, és adatvesztés sem történt", a támadó pedig a Nemzeti Kifizető Ügynökség — a mezőgazdasági és vidékfejlesztési szakterület — informatikai hálózatában szerzett jogosultságot, más területeket nem tudott sikerrel támadni. A Kincstár feljelentést tett a rendőrségen, a kárelhárítást a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézetével közösen végzi, és az esetet bejelentette az adatvédelmi hatóságnak. A Népszava ugyanakkor azt írta, hogy a támadók a nyugdíj-megállapítási és -folyósítási adatokhoz, az önkormányzatok számlaadataihoz és a lakossági nyilvántartásokhoz vezető jogosultságokat is megszerezhettek. A két állítás egymás mellett áll a nyilvánosságban, és kívülről egyik sem ellenőrizhető.

A behatolás menete a sajtóbeszámolók szerint tankönyvi. A támadók egy ismert, de nem frissített szoftversebezhetőséget használtak ki egy webkiszolgálón, majd megszerezték a központi beléptetőrendszer főadminisztrátori kulcsait, és a hálózat mélyén elavult, gyenge jelszavakkal védett adatbázisokat titkosítottak. A Yellow Cube kibervédelmi vállalat elemzése szerint azonban nem a védelmi kontrollok mondtak csődöt, hanem a reagálás: miután a támadó leállította a végpontvédelmi rendszert, a riasztások öt és fél napon át „egy üres szobába érkeztek". Ugyanez az elemzés cáfolja a tömeges adatkiszivárgást is: a szóban forgó adatmennyiség mozgatásához tartós, több gigabites sávszélesség kellett volna, ami a behatolás időablakában fizikailag kivitelezhetetlen. A nyilvános szivárogtatás mintegy 70 megabájtos „bizonyítékcsomag" volt, kifejezett megjegyzéssel, hogy váltságdíjat nem kérnek. Az újrahasznosított jelszavak listája önmagáért beszél: a 24.hu által ismertetett gyűjtésben a 468 vizsgált jelszóból 225 egyszerű név–születési dátum kombináció volt, mellettük Jelszó123, abcd1234 és hasonló minták. A csoport, amelyhez a támadás köthető, korábban Románia földhivatali adatbázisát is megtámadta.

A MIAK olvasata szerint az ügy fő tanulsága nem technológiai, hanem intézményi. Az Állami Számvevőszék már 2019-ben figyelmeztetett a nyugdíjbiztosítási főigazgatóságtól átvett informatikai hálózat kockázataira; a kritikus szoftverek egy részét külső partner fejleszti és tartja karban; a jelszóhasználat pedig azt mutatja, hogy hiányzik a kikényszerített házirend. Mindez együtt azt jelenti, hogy a szervezet nem tudta megmondani magáról, mi történt nála — és ez a nyilvánosság felé is átfordul: a „nem érintett állampolgári adat" mondat mögött nincs olyan bizonyíték, amit az érintett polgár ellenőrizni tudna. Egy kifizető intézménynél a bizonyíthatóság nem járulékos kényelmi kérdés, hanem magának a bizalomnak a feltétele.

II. rész — Szakkönyvi megalapozás

Az eset értelmezési kerete három, egymást kiegészítő forrásból áll össze. Az uniós NIS2 irányelv (a hálózat- és információbiztonságról szóló 2022/2555 irányelv) nem a technikai védelmet, hanem a jelentési fegyelmet teszi a rendszer gerincévé: 24 órán belül korai előrejelzés, 72 órán belül eseménybejelentés az első értékeléssel, egy hónapon belül zárójelentés a kiváltó okkal és a mérséklő intézkedésekkel — vagyis a szervezetnek nemcsak védekeznie, hanem elszámolnia is kell. Az általános adatvédelmi rendelet (GDPR) 33. cikke ugyanezt a logikát viszi végig az érintettek felé: az adatvédelmi incidenst 72 órán belül be kell jelenteni a felügyeleti hatóságnak, és ha ez elmarad, a késedelmet külön indokolni kell; a rendelet 85. preambulumbekezdése pedig tételesen felsorolja azokat a károkat — személyazonosság-lopás, pénzügyi veszteség, a jó hírnév sérelme —, amelyek ellen a gyors értesítés véd. Shoshana Zuboff amerikai szociálpszichológus a The Age of Surveillance Capitalism című kötetében a tudás és a hatalom „példátlan aszimmetriájáról" ír: ahol az egyik fél mindent tud a másikról, a másik viszont semmit arról, mit tudnak róla, ott a tudás megoszlása maga válik hatalmi kérdéssé — és ez a leírás az állami adatvagyonra ugyanúgy áll, mint a magánvállalatira. A részletes szakkönyvi tárgyalás — forrásonként, idézetekkel — a 6.4 Szakkönyvi részletezés szakaszban található.

📖 Forrás: Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (NIS2); Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet); Shoshana Zuboff: The Age of Surveillance Capitalism

III. rész — A MIAK konkrét javaslata

A MIAK három mérhető intézkedést javasol, amelyek együtt azt a hiányt pótolják, ami az esetben a leginkább látszik: nem a védelem hiányzik önmagában, hanem a bizonyíthatóság.

3.1 Kötelező többfaktoros belépés és kikényszerített jelszóházirend az állami kritikus rendszerekben (120 nap)

A MIAK azt javasolja, hogy a kormány százhúsz napos határidővel írja elő minden állami kritikus rendszernél — kiemelten a kifizetési, nyilvántartási és beléptetési rendszereknél — a többfaktoros hitelesítést (két lépcsőben történő belépést: jelszó mellett egy második, eszközhöz kötött igazolás), valamint a technikailag kikényszerített jelszóházirendet, amely eleve nem engedi elmenteni a gyenge vagy a korábban kiszivárgott jelszavakat. A követelmény kiterjedjen a rendszerekhez hozzáférő külső beszállítókra is, szerződéses feltételként. A határidő letelte után a megfelelést a kiberbiztonsági hatóság mintavételes auditban ellenőrizze, és a megfelelési arányt szervezeti bontásban tegye közzé. A javaslat a D5 kiberbiztonsági stratégia programpontból következik, amely az önkormányzati és központi rendszerekre egyaránt minimum-sztenderdet ír elő, és összhangban van a NIS2 vezetői felelősségi rendszerével (lásd 6.4.1).

3.2 Független, nyilvános incidens-utóvizsgálati jelentés minden súlyos állami incidens után (90 nap)

A repülésbiztonságban évtizedek óta bevett modell, hogy a balesetet nem az üzemeltető vizsgálja ki, hanem tőle szervezetileg elkülönült testület, és a jelentés nyilvános, a felelősség megállapítása pedig külön eljárás tárgya. A MIAK azt javasolja, hogy minden, állami kritikus rendszert érintő súlyos kiberincidens után kilencven napon belül készüljön ilyen jelentés, kötelező tartalmi elemekkel: a támadás időrendje, a kihasznált sebezhetőség és annak ismertté válási dátuma, az észlelési és reagálási idők, a hozzáférhetővé vált adatkörök, valamint annak naplózáson alapuló bemutatása, hogy mely adatkörökről állítható és mely adatkörökről nem állítható a sértetlenség. Ez utóbbi a lényeg: a „nem érintett állampolgári adat" típusú megnyugtatás csak akkor állítás, ha van mögötte naplóbizonyíték; egyébként reménykedés. A jelentésben az üzemeltetői és a beszállítói felelősség elhatárolása is szerepeljen. A javaslat a D5 és az A6 programpontokra épül, jogi mintája pedig a NIS2 zárójelentési kötelezettsége — a MIAK javaslata annyiban megy tovább, hogy a jelentés nyilvánosságát is előírja.

3.3 Kifizetés-folytonossági tartalékterv a nyugdíj- és családtámogatási ellátásokra (2027 első negyedévétől, évente gyakorolva)

A támadás legsúlyosabb valós kockázata nem az adatlopás volt, hanem a kifizetések megbénítása. A MIAK azt javasolja, hogy 2027 első negyedévétől legyen jogszabályban rögzített, dokumentált tartalék eljárásrend arra az esetre, ha a központi kifizetési rendszer több napra elérhetetlenné válik: elkülönített, rendszeresen frissített és offline is helyreállítható jogosultsági másolat, előre megállapodott banki adathordozó-formátum a folyósításhoz, valamint egy olyan jogszabályi szabály, amely szerint rendszerkiesés esetén az utolsó megállapított összeg automatikusan folyósítható, az elszámolás pedig utólag történik. A tervet évente, éles gyakorlaton kell kipróbálni, és a gyakorlat eredményét — a helyreállítási időt — közzétenni. A KI10 proaktív állami szolgáltatás programpont logikája itt fordítva érvényes: ha az állam automatikusan tud juttatást megállapítani, akkor automatikusan tudnia kell tovább folyósítani is, amikor a rendszere sérül.

A három javaslat közös elve a bizonyíthatóság. A kiberbiztonságban a védelem soha nem lesz teljes — a kérdés az, hogy a szervezet észreveszi-e a betörést, meg tudja-e mondani, mi történt, és tud-e működni akkor is, ha a rendszere sérült. A Zuboff-féle aszimmetria (lásd 6.4.3) éppen ott záródik be, ahol ez a három képesség hiányzik: az állam sokat tud a polgárról, a polgár viszont semmit arról, mi történt a róla szóló adattal.

IV. rész — Várható hatások és kockázatok

Dimenzió Várható hatás Kockázat
Közigazgatás A kikényszerített belépési szabály megszünteti az egyszerű jelszavakkal járó belépési utat; a felelősség egyértelműsödik az üzemeltető és a beszállító között A bevezetés rövid távon ügyintézési fennakadást és jelentős támogatási terhet okoz, különösen az idősebb vagy ritkán belépő felhasználóknál
Társadalom A nyilvános utóvizsgálat csökkenti a találgatást és a pánikot, és felkészíti a polgárokat a célzott adathalászatra A részletes technikai jelentés akaratlanul is támadási mintát adhat; ezért a közzétételnek van egy szűk, indokolt késleltetési sávja
Költségvetés A tartalékterv és az audit egyszeri beruházási igénye kicsi ahhoz képest, hogy egy több napos kifizetési kiesés mekkora kárt okoz A ráfordítás politikai szempontból „láthatatlan": olyan eseményt előz meg, amely, ha jól működik, sosem következik be
Beszállítói piac A szerződéses biztonsági követelmény kiszűri a felkészületlen szolgáltatókat, és javítja az állami rendszerek karbantartási fegyelmét Szűkülhet a versenyzők köre, ami emelheti az árakat és növelheti a függést néhány nagy szolgáltatótól

A legfontosabb átváltás az átláthatóság és a védekezés között feszül. Egy részletes, nyilvános incidensjelentés valóban tartalmazhat olyan információt, amely más rendszerek ellen felhasználható — ezért a MIAK javaslata nem korlátlan nyilvánosságot kér, hanem kötelező tartalmi elemeket, és ahol indokolt, ott legfeljebb néhány hónapos, előre rögzített késleltetést. A második átváltás a gyorsaság és a pontosság között áll fenn: a 24 órás korai előrejelzés természeténél fogva bizonytalan képet ad, és később korrigálni kell. Ez nem hiba, hanem a rendszer működési módja — épp ezért kell a jelentési kaszkádot végigvinni a zárójelentésig, mert az első közlemény szinte biztosan pontatlan lesz. A mostani eset ezt jól mutatja: a „nem érintett adat" és a „nyugdíjrendszerhez is hozzáfértek" állítás közötti feszültség pontosan az a bizonytalanság, amit egy zárójelentésnek fel kell oldania.

V. rész — Mérhetőség és összegzés

5.1 Mit érdemes követni? (javasolt KPI-k)

A MIAK négy teljesítménymutatót (KPI-t) javasol követésre:

  • Átlagos észlelési idő az állami kritikus rendszereknél — a jelenlegi eset öt és fél napos „vak" időszaka helyett érdemes a 24 óra alatti észlelést célként kitűzni 2028-ig, a D5 programpontban szereplő mutató szerint.
  • A többfaktoros belépés lefedettsége a kritikus rendszerekben — javasolt cél: 100% a 3.1 javaslat határidejét követő auditban, szervezeti bontásban közzétéve.
  • A 24 és 72 órás bejelentési határidők betartási aránya — javasolt cél: 90% felett, éves összesítésben, a kiberbiztonsági hatóság jelentésében.
  • Naplózási rekonstrukciós arány — az incidens után naplóból visszakövethető hozzáférések aránya. Ez a mutató mondja meg, mennyire állítható bizonyítottan, hogy egy adatkör nem sérült; javasolt cél: 95% felett.

5.2 Összegzés

A MIAK kérése konkrét: a kormány százhúsz napon belül tegye kötelezővé a többfaktoros belépést az állami kritikus rendszerekben, a Kincstár ügyében pedig kilencven napon belül készüljön el és jelenjen meg a független utóvizsgálati jelentés — abban a formában, amelyben megkülönbözteti a bizonyítottan sértetlen adatköröket a csak feltételezetten sértetlenektől. A nyilvánosságtól a MIAK azt kéri, hogy az ügyet ne a támadó személye vagy nemzetisége felől olvassa, hanem a szervezeti reagálás felől: az öt és fél napig figyelmen kívül hagyott riasztás többet mond a magyar állami informatika állapotáról, mint bármelyik technikai részlet.

Ebben az ügyben a MIAK két alapértéke mozog. Az átláthatóság azért, mert kiberbiztonsági kérdésben a nyilvánosság nem luxus: egy kifizető intézmény esetében az érintettek csak akkor tudják magukat megvédeni a következő lépéstől — a célzott adathalászattól —, ha tudják, milyen adataik kerülhettek illetéktelen kézbe. Az adatvezéreltség pedig azért, mert a „nem érintett adat" típusú állítás vagy naplóbizonyítékon alapul, vagy nem állítás, hanem remény; a különbség mérhető, és a MIAK javaslatai éppen ezt a különbséget teszik láthatóvá.

VI. rész — Indoklások és további források

6.1 A sajtó keretezése spektrumonként

A gazdasági sáv az intézményi és a szerződéses hátteret helyezte előtérbe. A Portfolio a Népszava értesüléseit átvéve az önkormányzati számlavezetés kitettségét és a több százmilliárdos állományt emelte ki, továbbá azt a részletet, hogy az Állami Számvevőszék már 2019-ben figyelmeztetett a nyugdíjbiztosítási rendszerektől átvett hálózat kockázataira, és hogy a kritikus szoftverek egy részét külső partner tartja karban. Ez a keretezés a felelősségi lánc felé mutat.

A közéleti és a balliberális sáv két, egymást kiegészítő irányba vitte a történetet. A 24.hu a szervezeti kultúrát tette a középpontba, előbb kiberbiztonsági szakértő megszólaltatásával, majd a jelszóhasználatot bemutató elemzéssel, amely az esetet a mindennapi mulasztások szintjén tette megfoghatóvá. A Telex a hivatalos kincstári választ állította a cím középpontjába, vagyis azt a kérdést, hogy hozzáfértek-e állampolgári adatokhoz. A HVG a tágabb technológiai kontextust hozta, a mobilhálózati azonosító kártyák sebezhetőségéről és a támadások gépi felderítéséről szóló írásokkal.

A konzervatív sáv ezen a napon a témát nem emelte a fókuszba — a Magyar Nemzet és a Mandiner címlapján a napi közjogi vita és a köztársasági elnök megválasztása állt. Ez a hiány önmagában is jelzés: egy kifizető intézmény működőképessége nem pártpolitikai kérdés, mégis csak azokban a sávokban kapott helyet, amelyek amúgy is intézményi működésről írnak. A MIAK szerint ez pontosan az a témakör, amelynél a spektrum egészének azonos mércét kellene alkalmaznia — a következő kormány alatt is.

6.2 Tények és adatok

Adat Érték Forrás
A riasztások figyelmen kívül maradásának időtartama 5,5 nap (a végpontvédelem leállítása után) Yellow Cube elemzés, 24.hu, 2026. augusztus 10.
A nyilvános szivárogtatás mérete kb. 70 MB „bizonyítékcsomag", váltságdíj-követelés nélkül Yellow Cube elemzés, 24.hu
Az állítólagos teljes adatmennyiség 229,1 TB — az időablakban tartós 7,5 Gbps sávszélességet igényelt volna, ezért kizárható Yellow Cube elemzés, 24.hu
Gyenge jelszavak aránya a vizsgált mintában 468-ból 225 jelszó név + születési dátum kombináció Yellow Cube elemzés, 24.hu
Az Állami Számvevőszék korábbi figyelmeztetése 2019 (a nyugdíjbiztosítási főigazgatóságtól átvett hálózat adatvédelmi kockázatai) Népszava, Portfolio, 2026. augusztus 11.
A behatolás módja ismert, nem frissített szoftversebezhetőség webkiszolgálón, majd a központi beléptetőrendszer főadminisztrátori kulcsainak megszerzése Népszava, Portfolio
A NIS2 szerinti bejelentési határidők 24 óra (korai előrejelzés) / 72 óra (eseménybejelentés) / 1 hónap (zárójelentés) EU 2022/2555 irányelv, 23. cikk
A GDPR szerinti bejelentési határidő 72 óra a felügyeleti hatóság felé EU 2016/679 rendelet, 33. cikk

Az adatok közül a legfontosabb az első és az utolsó viszonya. A NIS2 jelentési kaszkádja azt feltételezi, hogy a szervezet 24 órán belül tud a jelentős eseményről. Egy olyan üzemeltetésnél, ahol a riasztások öt és fél napon át nem jutnak el senkihez, ez a határidő fogalmilag nem tartható — nem azért, mert a jelentés lassú, hanem mert a kiindulópont, a tudomásszerzés csúszik el. Ez az összefüggés indokolja, hogy a 3.1 javaslat a belépési kontrollon túl a felügyeleti működésre is kiterjed.

6.3 Szakpolitikai vetületek

  • Digitalizáció és AI-szabályozás (programpontok) — a kiberbiztonsági stratégia (programpont ID: D5) adja a 3.1 és 3.2 javaslat közvetlen alapját, benne a nemzeti biztonsági felügyeleti központ, a kötelező éves audit és a félévenkénti gyakorlatok követelményével; az adatkormányzás (programpont ID: D18) a közszférában kezelt adatok hozzáférési rendjét szabályozza;
  • Közigazgatás és e-kormányzat (programpontok) — az egyablakos digitális ügyintézés (programpont ID: KI1) integrációs logikája éppen azért igényel erős hitelesítést, mert egyetlen belépés több rendszert nyit meg; a proaktív állami szolgáltatás (programpont ID: KI10) adja a 3.3 folytonossági javaslat elvi hátterét;
  • Szociálpolitika (háttéranyag) — a nyugdíj- és családtámogatási kifizetési láncok kiesése a legsérülékenyebb háztartásokat érinti a leggyorsabban, ezért a folytonossági terv szociálpolitikai kérdés is;
  • Átláthatóság és korrupcióellenes politika (programpontok) — a fékek és ellensúlyok megerősítése (programpont ID: A6) az intézményi teljesítmény nyilvános mérésének elvét adja, amit a 3.2 javaslat az incidenskezelésre terjeszt ki.

6.4 Szakkönyvi részletezés

6.4.1 Az uniós NIS2 irányelv

A 2022/2555 irányelv szerkezetének magva nem a technológiai előírás, hanem a jelentési fegyelem. Az irányelv 23. cikke háromlépcsős kaszkádot ír elő az alapvető és fontos szervezeteknek: „indokolatlan késedelem nélkül és minden esetben a jelentős eseményről való tudomásszerzéstől számított 24 órán belül egy korai előrejelzést", ezt követően 72 órán belül eseménybejelentést az esemény első értékelésével, súlyosságával és hatásával, végül legkésőbb egy hónapon belül zárójelentést, amely tartalmazza az esemény részletes leírását, a kiváltó ok típusát és az alkalmazott mérséklő intézkedéseket. Az irányelv preambuluma külön kiköti, hogy a bejelentési kötelezettség ne vonja el az erőforrásokat magától az incidenskezeléstől — vagyis a jogalkotó tudatosan úgy tervezte a rendszert, hogy a gyors, pontatlan első jelzést később pontosítani lehet.

A kincstári eset ehhez a kerethez mérve két ponton érdekes. Egyrészt a hármas kaszkád zárólépcsője — a részletes zárójelentés a kiváltó okkal — pontosan az a dokumentum, amelyet a MIAK 3.2 javaslata nyilvánossá tenne; az irányelv ezt ma a hatóságnak írja elő, nem a közvéleménynek. Másrészt a kaszkád egésze a tudomásszerzés pillanatától indul: ahol a riasztási lánc megszakad, ott a jogszabályi határidők formálisan is teljesülhetnek, miközben érdemben nem történt semmi. Ez a formális megfelelés és a tényleges biztonság közötti rés a magyar közigazgatás egyik legfontosabb, ritkán mért kockázata.

📖 Forrás: Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (NIS2)

6.4.2 Az általános adatvédelmi rendelet

A GDPR 33. cikke szerint az adatvédelmi incidenst az adatkezelő „indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott", bejelenti az illetékes felügyeleti hatóságnak — kivéve, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira nézve; ha a bejelentés később történik, a késedelmet indokolni kell. A bejelentésnek tartalmaznia kell az incidens jellegét, az érintettek és az érintett adatok kategóriáit és hozzávetőleges számát. A rendelet 85. preambulumbekezdése pedig tételesen sorolja, mi ellen véd ez a gyorsaság: a személyes adatok feletti rendelkezés elvesztése, a hátrányos megkülönböztetés, a személyazonosság-lopás, a pénzügyi veszteség és a jó hírnév sérelme.

Ez a felsorolás pontosan az a kockázati lista, amelyet a mostani ügyben a szakértők is megneveztek: nem közvetlen, illetéktelen pénzmozgatás a fő veszély, hanem a megszerzett bizalmas adatokkal elkövetett célzott adathalászat. A GDPR logikája szerint ezért az érintettek tájékoztatásának mércéje nem az, hogy történt-e kár, hanem az, hogy fennáll-e a magas kockázat. A MIAK 3.2 javaslata ezt fordítja gyakorlati követelménnyé: a jelentésnek adatkörönként kell megmondania, mi bizonyított és mi nem — mert csak ebből tudja az érintett eldönteni, mire figyeljen.

📖 Forrás: Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet)

6.4.3 Shoshana Zuboff: A megfigyelési kapitalizmus kora

Zuboff kötetének központi tétele, hogy a nagy adatvagyont kezelő szereplők „a tudás és a hatalom rendkívüli, az emberi történelemben példátlan aszimmetriáját" élvezik, és hogy ennek jelentősége leginkább úgy ragadható meg, mint a társadalmi tanulás megosztásának — annak, hogy ki tud mit kiről — a magánosítása. Zuboff elemzése a technológiai vállalatokról szól, de a fogalmi keret az állami adatvagyonra is átvihető, mert az aszimmetria forrása ugyanaz: az egyik fél teljes képet lát, a másik pedig nem is tudja, milyen kép létezik róla.

A kincstári ügyben ez az aszimmetria konkrét formát ölt. Az állam kezeli a nyugdíj-megállapítási, a családtámogatási és az önkormányzati számlaadatokat; a polgár viszont még azt sem tudja ellenőrizni, hogy a róla szóló adathoz hozzáfértek-e. A MIAK szerint éppen ezért nem elegendő a védelem javítása: a bizalom helyreállításához az aszimmetria egy részét vissza kell bontani, mégpedig azzal, hogy a polgár utólag hiteles, független forrásból megtudja, mi történt. Ez a 3.2 javaslat valódi indoka — nem a felelősök megnevezése, hanem az információs egyensúly minimális helyreállítása.

📖 Forrás: Shoshana Zuboff: The Age of Surveillance Capitalism

6.5 Nemzetközi összehasonlítás

A független, nyilvános incidensvizsgálat modellje nem elméleti konstrukció. Az Egyesült Államokban a Cyber Safety Review Board (CSRB) kifejezetten a repülésbiztonsági balesetvizsgálat mintájára jött létre, és nyilvános jelentéseket adott ki nagy, közérdekű incidensekről — a jelentések szerkezete (időrend, kiváltó ok, ajánlások) éppen az, amit a MIAK 3.2 javaslata kér. Az Egyesült Királyságban a National Cyber Security Centre éves jelentése ágazati bontásban közöl incidensstatisztikát, ami összehasonlíthatóvá teszi az évek teljesítményét. Észtország — amely a 2007-es támadássorozat után építette újjá a rendszerét — a folytonosság oldalán ad mintát: az adatnagykövetség modelljében az állami nyilvántartások hitelesített másolatai külföldi adatközpontban is rendelkezésre állnak, ami pontosan a 3.3 javaslat célját szolgálja.

A minták közös vonása, hogy egyikük sem a védelmi technológiára helyezi a hangsúlyt, hanem a helyreállítási és az elszámolási képességre. Ez a szemléletváltás a magyar esetben azért különösen indokolt, mert az elemzések szerint itt sem a kontrollok, hanem a reagálás mondott csődöt.

6.6 Kapcsolódó MIAK-programpontok

Digitalizáció és AI-szabályozás

  • D3 — Digitális állampolgárság
  • D5 — Kiberbiztonsági stratégia
  • D18 — Adatkormányzás és nyílt adatközvetítők

Közigazgatás és e-kormányzat

  • KI1 — Egyablakos digitális ügyintézés
  • KI10 — Proaktív állami szolgáltatás

Átláthatóság és korrupcióellenes politika

  • A6 — Fékek és ellensúlyok megerősítése

Javasolt új programpont: Kifizetés-folytonossági tartalék eljárásrend a szociális ellátásokra — a Szociálpolitika területre.

6.7 Források jegyzéke

Sajtóforrások (MIAK sajtómonitor, 2026. augusztus 12. — 6. téma):

Tudásbázis-hivatkozások (szakkönyvek és hivatalos jogforrások):

  • 📖 Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (NIS2)
  • 📖 Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet)
  • 📖 Shoshana Zuboff: The Age of Surveillance Capitalism

Megjegyzés: a blog látható szövegében nem jelenik meg a források lokális fájlútvonala — csak a szerző és a cím, illetve a jogforrás megjelölése.

MIAK-belső anyagok:

  • MIAK szakpolitikai terület: Digitalizáció és AI-szabályozás (programpontok; programpont ID: D5, D18)
  • MIAK szakpolitikai terület: Közigazgatás és e-kormányzat (programpontok; programpont ID: KI1, KI10)
  • MIAK szakpolitikai terület: Szociálpolitika (háttéranyag)
  • MIAK sajtómonitor, 2026. augusztus 12. — 6. téma, pontszám: 84/100

Kiegészítő nyilvános adatforrások:

  • ENISA — Threat Landscape éves jelentés
  • Nemzeti Kibervédelmi Intézet — incidensjelentési statisztika
  • Cyber Safety Review Board (Egyesült Államok) — nyilvános incidensvizsgálati jelentések

Generálási metaadatok

  • Bemeneti sajtómonitor: MIAK sajtómonitor, 2026. augusztus 12.
  • Generálás dátuma: 2026. augusztus 12. 11:35 CEST
  • Felhasznált tokenek (összesen): 141 000 (lásd frontmatter tokens_breakdown)

Kapcsolódó korábbi elemzéseink