Miért pont most?

A mesterséges intelligencia (AI) kétélű fegyver lett a kiberbiztonságban. Ugyanaz a technológia, amivel egy cég gyorsabban észlelheti a sérülékenységeit és kivédheti a támadásokat, a bűnözők kezében arra való, hogy automatizálják a betöréseket, percek alatt találjanak gyenge pontokat, és soha nem látott mennyiségben, meggyőző minőségben gyártsanak adathalász leveleket. Ami korábban egy képzett hackercsapatnak hetekbe került, azt ma egy jól irányzott AI-modell órák alatt elvégzi.

Ez a magyar kkv-kat különösen érzékenyen érinti. A támadóknak eddig nem érte meg egy húszfős gépipari beszállítóval vagy egy vidéki könyvelőirodával bíbelődni - az automatizálás viszont pont azt jelenti, hogy a kis célpontok támadása is olcsóvá vált. A tört magyarsággal írt, kilométerről felismerhető csaló e-mailek kora lejárt: az AI ezt ma már hibátlanul írja meg magyar nyelven, a cég valós adataira szabva.

Mit tartalmaz a terv?

Az akcióterv három irányban indul el. Egyrészt a legfejlettebb AI-modelleket a piacra kerülésük előtt értékelni kell kiberbiztonsági szempontból is - ehhez az Európai Bizottság 2027-re saját európai értékelő kapacitást épít ki. Másrészt az EU kiberbiztonsági ügynöksége, az ENISA egy tesztplatformot hoz létre, ahol a kritikus ágazatok (pénzügy, energia, egészségügy, közlekedés, közigazgatás) szereplői biztonságos, szimulált környezetben próbálhatják ki az AI-alapú megoldásokat, mielőtt élesben bevetnék őket. Harmadrészt Brüsszel versenyt hirdet (EU Grand Challenge néven) európai AI-alapú kibervédelmi megoldások fejlesztésére, és tovább önti a pénzt a saját, szuverén európai AI-kapacitásokba.

A terv egyik legérdekesebb üzenete azonban nem a nagy intézményeknek szól, hanem maguknak a cégeknek: az Európai Bizottság kifejezetten arra biztatja a szervezeteket, hogy már most kezdjék el használni az elérhető AI-eszközöket - akár nyílt forráskódú modelleket is - a saját sérülékenységeik felderítésére és a támadások elhárítására. Vagyis nem azt mondja, hogy várjunk a szabályozásra, hanem azt, hogy a védekezésben is lépjünk, mert a támadók biztosan nem várnak.

A szabályozási háttér

Az akcióterv egy már épülő jogszabályi rendszerre támaszkodik, és ennek több eleme a következő másfél évben válik élessé. Az mesterséges intelligencia rendeletének (AI Act) fejlett modellekre vonatkozó előírásait 2026. augusztus 2-tól kezdik érvényesíteni. Ez főleg a modellek fejlesztőit érinti, de közvetve mindenkit, aki ilyen eszközöket használ.

Az Európai Unió kiberbiztonsági szabályozása, a NIS2 irányelv a kritikus és fontos ágazatokban működő cégeknek ír elő kockázatkezelési és bejelentési kötelezettségeket, és a beszállítói láncokon keresztül olyan kkv-kat is elér, amelyek maguk nem tartoznak a hatálya alá.

A pénzügyi szektorban a DORA rendeli el ugyanezt szigorúbban. A Cyber Resilience Act pedig 2027 végétől minden digitális elemet tartalmazó termékre (szoftverre, okoseszközre, ipari vezérlőre) kimondja: a biztonságot már a tervezőasztalon bele kell építeni, nem utólag foltozgatni.

A közös logika egyszerű: a kiberbiztonság megszűnik „informatikai kérdés” lenni, és ugyanolyan megfelelési és üzleti kérdéssé válik, mint az adózás vagy a munkavédelem.

Mit jelent ez egy hazai vállalkozásoknak a gyakorlatban?

Először is, a fenyegetés nem elméleti: az AI-jal felturbózott adathalászat, a hangklónozással elkövetett „vezérigazgatós” csalások, az automatizált sérülékenység-keresés már ma a mindennapok része, és a kis cégek a leggyengébb láncszemek. 

Másodszor: aki nagyvállalatoknak vagy közszférának szállít be, egyre gyakrabban találkozik majd azzal, hogy a partnere kiberbiztonsági garanciákat kér tőle - mivel őt kötelezi erre a NIS2. A felkészült kkv itt versenyelőnyt szerezhet, enélkül viszont szerződéseket veszíthet. 

Harmadszor: az AI a védekezésben is elérhetővé vált kicsiknek. Ami korábban drága biztonsági csapatot igényelt, annak egy része ma előfizetéses szolgáltatásként vagy ingyenes eszközként hozzáférhető.

Hogyan és hol érdemes elkezdeni? 

Semmiképp sem nagy beruházásokkal. A támadások túlnyomó többsége ma is a legegyszerűbb hibákon keresztül megy végbe: gyenge jelszavakon, hiányzó frissítéseken, óvatlan kattintásokon. Már az is nagyot dob egy cég ellenálló-képességén, ha mindenhol bekapcsoljuk a kétlépcsős azonosítást, rendszeresen telepítjük a frissítéseket, és van a cég rendszereitől elkülönített, kipróbált biztonsági mentés. Ezek egyike sem igényel sem AI-t, sem milliós büdzsét, viszont pont ezek hiányán bukik el a legtöbb magyar kisvállalkozás, amikor megérkezik az első komoly támadás.

A következő cikkben lépésről lépésre végigvesszük, hogyan építhető fel ez a védelem a gyakorlatban - nulla forinttól indulva.

(Forrás: Európai Bizottság)

A kép forrása mesterséges intelligenciával készült.