„Mint a védelmi pénz” – Egy Rogán-közeli céget évek óta tartanak a csúcson a pont jókor változó jogszabályok

„Tegye fel a kezét az, aki szerint a júliustól hatályos kormányhatározat követelményeinek mindössze egyetlen cég felel meg!”

– ez a mondat hét évvel ezelőtt hangzott el, de az, hogy ma is ugyanolyan aktuális, mindennél érzékletesebben illusztrálja a magyar IT-piac sajátos működését. Gaidosch Tamás, a Magyar Nemzeti Bank informatikai felügyeletének akkori vezetője mondta 2016 szeptemberében egy szakmai konferencián, és a Magyar Nemzet korabeli tudósítása szerint a résztvevők nagy része fel is tette a kezét.

A szóban forgó kormányrendelet a pénzügyi intézmények informatikai rendszerének védelméről szólt. Ennek a 2016 nyarán hatályba lépett módosítása előírta, hogy az érintett intézményeknek kiberbiztonsági okokból évente tanúsíttatniuk kell a rendszerüket: meg kell bízniuk egy külső céget, amely átvizsgálja a rendszert, és tanúsítja, hogy az megfelel az előírt biztonsági követelményeknek, azaz kellőképpen ellenálló a kiberfenyegetésekkel szemben.

Ennek a tanúsítási munkának az elvégzését azonban a rendelet olyan feltételekhez kötötte, amelyeknek csak egyetlen cég, a Rogán Antal kabinetminiszterhez ezer szálon kötődő Hunguard Kft. felelt meg. Mindez 2016-ban nagy sajtóvisszhangot is kapott, de az ügy pár hónap alatt elült, majd néhány évvel később már egy másik cég is megjelent a pénzügyi intézmények IT-rendszerének tanúsítására jogosult szervezetek listáján.

Csakhogy ez az egyetlen másik cég, amely évekkel később fel tudott kerülni, gyakorlatilag azóta sem igazán dolgozhatott ezen a területen, mert előbb egy rendeletmódosítás olyan új feltételeket hozott be, amelyeknek megint csak a Hunguard felelt meg; majd idén nyáron, miután újra reálissá vált, hogy bővüljön a tanúsítók köre, akkorát szigorítottak a szabályokon, hogy a másik szereplőt hamarosan törölni is fogják a listáról.

Bár a nyilvánosság figyelmét eddig elkerülte, ez a júliusi módosítás a piac ismerői szerint jó néhány évre bebiztosítja, hogy továbbra is kizárólag a Hunguard jöhessen szóba a pénzügyi szektor tanúsítása terén.

Nyilvánosan elérhető adatok, iparági információk és a területet ismerő szakértők segítségével rekonstruáljuk, hogyan állt elő ez a helyzet, és milyen módon termelődött újra az évek során, a rendelet 2016-os személyre szabásától a 2020-as finomhangolásán át az idén júliusi bebetonozásáig.

2016: a személyre szabás

2016. január 1-jén lépett hatályba a 42/2015. (III. 12.) Korm. rendelet „a pénzügyi intézmények, a biztosítók és a viszontbiztosítók, továbbá a befektetési vállalkozások és az árutőzsdei szolgáltatók informatikai rendszerének védelméről”, amelybe még azon a nyáron bekerültek az érintett intézmények rendszerének tanúsítására vonatkozó részek.

Ezek értelmében a tanúsítást akkoriban az a cég végezhette, amelyik, bekerült a tanúsító szervezetek MNB által vezetett jegyzékébe. Ehhez számos kisebb-nagyobb feltételt kellett teljesítenie, amelyeket nagy vonalakban érdemes átfutni, hogy lássuk, később hogyan változtak:

• szükség volt két, megfelelő végzettségű és tapasztalatú szakértőre,
• legalább tíz teljes munkaidőben foglalkoztatott munkavállalóra,
• legalább ötüknek a Nemzeti Biztonsági Felügyelet által kiállított személyi biztonsági tanúsítványra,
• minimum 100 millió forintos felelősségbiztosításra,
• megfelelő akkreditációra a megelőző öt évből legalább négyben,
• legalább három tanúsítási referenciára,
• a Nemzeti Biztonsági Felügyelet által kiállított, legalább három éve meglévő telephely-biztonsági tanúsítványra,
• és be kellett kerülniük az Alkotmányvédelmi Hivatal nyilvántartásába is.

A tanúsítókra vonatkozó követelmények már egy évvel korábban, tervezetkorukban is éles szakmai kritikákat váltottak ki. 2015-ben az Informatikai, Távközlési és Elektronikai Vállalkozások Szövetsége (IVSZ) – miközben a tanúsítók minőségalapú szűrésének igényét nem vitatta – arra a megállapításra jutott, hogy a feltételek nem álltak összhangban az információbiztonsági szakma nemzetközi szabványaival, és kizárták a feladatra amúgy alkalmas vállalkozások többségét. A kifogásolt feltételek között szerepeltek olyanok, amelyek az IVSZ szerint szükségtelenek volt, míg mások a piac félreértésén alapultak vagy túl elnagyoltak voltak.

Az IVSZ is kifogásolta például, hogy a tervezet túlságosan nemzetbiztonsági szemléletű. Egy multinacionális könyvvizsgáló vállalat munkatársa akkoriban a Magyar Nemzetnek azt mondta, hogy az, hogy a feltételek között a titkosszolgálatok által kiadott személyi és telephely-biztonsági tanúsítvány is szerepel, vállalhatatlan a nemzetközi cégeknek, míg más feltételek a kisebb hazai cégeket zárták ki. Hirsch Gábor, az IVSZ Biztonság munkacsoportjának akkori vezetője szerint ez utóbbiak közé tartozott a nagy összegű felelősségbiztosítás és a minimum alkalmazotti létszám előírása. Ő is komoly piactorzító hatásúnak tartotta a rendelet. De a cikk elején idézett Gaidosch Tamás szerint maga az MNB és a Magyar Bankszövetség is látta a problémákat (nemcsak az informatikai oldalon, hanem a rendelet betartathatóságával kapcsolatban is), csak a kormány velük sem foglalkozott.

A Hunguard akkoriban reagált is arra a vádra, hogy a rendeletet rájuk szabták: a cég szerint a kormány csak kellően szigorú feltételeket szabott, amelyeknek viszont megfelelhet több másik cég is. Végül azonban nem felelt meg senki más: az MNB 2016. szeptember 19-én tette közzé először a nyilvántartásba vett tanúsító szervezetek listáját, amelyen a várakozásoknak megfelelően egyedül a Hunguard szerepelt.

Egy külföldi tulajdonú pénzügyi cég egyik vezetője a Telexnek azt mesélte, annak idején egy órán át kellett magyaráznia az anyacég képviselőinek, mire megértették, hogy azért nem írnak ki tendert a tanúsításra, mert azt a rendelet értelmében egyetlen cég végezheti csak el.

„Ez ugyanolyan, mint a kocsmában a védelmi pénz: hogyha nem fizetsz, akkor fejbe vágnak. És aztán nagy kerek szemekkel elfogadták, hogy hát, akkor fizetünk.”

Szakmai körökből úgy tudjuk, hogy bár valóban voltak kisebb feltételek is, amelyek más cégeknél nem teljesültek, ekkoriban a fő akadály nem a minimumlétszám vagy a magas felelősségbiztosítás volt, hanem azok az előírások, amelyek több évre visszamenőleg írták elő bizonyos okiratok meglétét: a telephely-biztonsági tanúsítványra (TBT) előírt három év, illetve az akkreditációra előírt ötből négy év. Érdemes megnézni, hogy ezek az évszámok hogyan viszonyulnak a Hunguard adottságaihoz: TBT-jük 2012 óta volt, akkreditációjuk pedig 2011 óta.

Egyes követelmények egyébként nemcsak magára a tanúsító cégre, hanem a vele együttműködő vizsgálólaborra is vonatkoztak, ami külön nehezítés, mert a Hunguardnak cégen belül van akkreditált laborja, és úgy tudjuk, akkoriban nem is nagyon volt más labor, amelynek elég régóta volt akkreditációja.

Beszéltünk olyan tanúsító cég munkatársával is, amely korábban megvizsgálta, hogy mire lenne szükség a megfeleléshez, de már akkor arra jutottak, hogy túlságosan nagy erőforrásigényű lenne a belépés, és nem biztos, hogy megtérülne.

Amikor a Hunguard 2016-ban egyedüliként felkerült a listára, közleményükben szerényen azt írták, ez azt jelenti, hogy „a Hunguard Kft. is” megfelelő kvalitásokkal rendelkezik a tanúsításhoz. De az MNB közleménye is hasonlóan fogalmazott: „egyelőre egy tanúsító szervezet jegyzékbe való vételére került sor”. Mint később kiderült, ez az „egyelőre” majdnem négy éven át tartott.

2020: a finomhangolás

A Hunguard mellé azóta egyetlen cég tudott felkerülni a listára, azaz teljesíteni az eredeti követelményeket: a Certop Informatikai Kft.-t 2020. május 21-én vette jegyzékbe az MNB. Nem sokkal ezután, augusztusban meg is jelent, majd szeptemberben hatályba lépett a rendelet első érdemi módosítása, amely újabb feltételeket határozott meg – de már nem a listára kerüléshez, hanem ahhoz, hogy a listán lévő tanúsítók végezhessék is magát a munkát. Ezeknek az új feltételeknek a két cég közül már ismét csak a Hunguard felelt meg.

Az új feltételeket a vizsgált pénzügyi intézmény mérlegfőösszege alapján határozták meg:

• Egyrészt 10 és 1000 milliárd forint mérlegfőösszeg között legalább egyéves, 1000 milliárd fölött legalább kétéves, „e rendelet szerinti tanúsítási tapasztalattal és referenciával” kellett rendelkezni.
• Másrészt új területekkel bővítették ki az addig előírt akkreditációt, ezekre 10 milliárd alatt legalább megkezdett akkreditációs eljárást kellett igazolni, 10 és 1000 milliárd között legalább egyéves, 1000 fölött legalább kétéves akkreditációt kellett tudni felmutatni.
• Harmadrészt ezekről az új akkreditációs területekről is kellett referencia.

Már az első pont is érdekes. „Ez egy olyan körkörös feltétel, amit új szereplőként nem könnyű teljesíteni, azaz hogy legyen olyan tanúsításod, amit e rendelet szerint kell megcsinálni ahhoz, hogy tanúsíthass e rendelet szerint” – hívta fel a figyelmünket a területet ismerő egyik forrásunk. „Referencia mindenütt kell természetesen, és ez nem is baj, ezek azok a területek, ahol kell korlátot rakni a belépéshez, tehát ezzel önmagában nincsen gond. A körkörösség már egy érdekesebb helyzet, az más területek tanúsításánál ilyen szinten nem jellemző” – tette hozzá.

Mégis lényegesebb a másik új feltétel, az akkreditáció kibővítése. Ehhez tudni kell, hogy az azonos akkreditációkon belül is lehetnek különbségek, különböző területeket fedhetnek le, így pusztán az, hogy egy cégnek van akkreditációja terméktanúsításra, még nem jelenti azt, hogy az minden releváns területre érvényes. (A Hunguard aktuális akkreditációja itt, a Certopé itt található, de a Nemzeti Akkreditáló Hatóság adatbázisában a korábbi állapotok nem kereshetők.)

2016-ban még csak az „informatikai biztonsági funkciókat megvalósító szoftvertermékek és -rendszerek” területekre írt elő akkreditációs kötelezettséget a rendelet, a megelőző ötből négy évnyit (ez az, ami már az MNB-listára kerüléshez is kellett). 2020-ban viszont emellé még bejött egy csokornyi új terület: „a 910/2014/EU rendelet szerinti bizalmi szolgáltatások, zárt elektronikus információs rendszerek, digitális archiválást végző alkalmazások, elektronikus aláírási termékek, valamint elektronikus aláírási rendszerek”. Mérlegfőösszegtől függően ezekre egy-két éves követelményt szabtak.

Az új területek mindegyikére azonban akkor még csak a Hunguard volt elegendő ideje akkreditálva, így előállt az a különös helyzet, hogy hiába volt már két cég a választható tanúsítók MNB-listáján, látszólag többszereplőssé bővítve a piacot, a gyakorlatban mégis csak az egyikkel lehetett szerződni.

2023: a kiszorítás

Újabb néhány év ugrás következik: a Certop – ahogy az az érvényes akkreditációjukból látszik – a 2020-as módosítás után megszerezte a hiányzó területekre is az akkreditációt, és 2023 tavaszára elkezdhette a pénzügyi szervezetek tanúsítását. Úgy tudjuk, néhány szerződést meg is kötöttek a szektorban, de alig néhány hónappal később, idén júliusban – részben uniós jogszabályokra hivatkozva – újra átszabták a terület szabályozását, ezúttal elég alaposan.

A friss módosítás visszatér az alapokhoz, és az MNB-listára kerülés feltételéül már azt szabja, hogy a tanúsítani kívánó cég felkerüljön a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által vezetett listára mint magas megbízhatóságú megfelelőségértékelő szervezet. Erre a második listára viszont csak az a cég kerülhet fel, amely teljesíti az eddigieknél is jóval szigorúbb feltételeket – amire információink szerint jó darabig újfent csak a Hunguard lesz képes.

A változás hátteréhez hozzátartozik, hogy a magyar jogalkotó az Európai Unióban kiépülőben lévő kiberbiztonsági jogi keretekhez igazítja a magyar jogszabályokat. Ennek részeként idén májusban hatályba lépett a 2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről, amely a 2019/881 számú uniós kiberbiztonsági rendelet „végrehajtásához szükséges rendelkezéseket állapít meg”. Ez az EU-s rendelet kimondja, hogy minden tagállamnak ki kell jelölnie egy nemzeti kiberbiztonsági tanúsító hatóságot, amely aztán engedélyezi és felügyeli, szükség esetén felfüggeszti a tanúsítást végző megfelelőségértékelő szervezeteket. Magyarországon ez a hatóság az SZTFH lett.

Az új felállásban ezért a követelmények nagy része már nem is magában a többször finomítgatott kormányrendeletben van benne, hanem az idén májusban hatályba lépett, „az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról” szóló SZTFH-rendeletben, ez határozza meg, hogyan lehet az SZTFH-listára kerülni.

Maguk a feltételek már ismerősek lehetnek, csak szinte mind sokat szigorodott:

• Az eddigi tíz helyett már tizenöt teljes munkaidős munkavállalóra van szükség, ami 50 százalékos emelés. Személyi biztonsági tanúsítvány pedig öt helyett már legalább tíz főnek kell.
• Eddig három éve kellett, hogy legyen telephely-biztonsági tanúsítvány, ezentúl a megelőző kilenc évben legalább hét éven keresztül.
• Az előírt felelősségbiztosítást 100 millióról 250 millióra emelték.
• Az eredetileg előírt akkreditációs területeken („informatikai biztonsági funkciókat megvalósító szoftvertermékek és -rendszerek”) az eddigi öt évből négy év helyett már kilencből hétéves akkreditált státusz kell.
• A 2020-ban behozott területeken („a 910/2014/EU rendelet szerinti bizalmi szolgáltatások, zárt elektronikus információs rendszerek, digitális archiválást végző alkalmazások, elektronikus aláírási termékek, valamint elektronikus aláírási rendszerek”) pedig nulla-két év helyett a megelőző hét évből ötévnyi akkreditáltság a követelmény.
• Referenciából is több kell: az eredeti területeken kis- és középvállalkozásoktól negyven, más cégektől húsz darab, míg a később behozott területeken kettő.
• A vizsgálólaborokra is hasonló feltételek vonatkoznak, ezek teljesülését azonban idéntől már nem kell külön igazolni, ha a labor a tanúsító cég része – mint ahogy ez a Hunguard esetében van.

A szakmabeli kritikák szerint az olyan szigorítások, mint a drasztikus létszámemelés, „arra jók, hogy kivéreztessék a kisebb cégeket, mert tizenöt munkavállalót fenntartani nem két fillér”. (A Hunguardnak egyébként a cégbeszámolója szerint 30 van.) „Ezek teljesen irreális feltételek, semmi közük a tanúsításhoz, beleírhatták volna azt is, hogy legyen az auditor kék szemű és 168 centiméter magas” – mondta a területet ismerő egyik forrásunk.

Ennél azonban fontosabbak az eltelt évekhez kötött feltételek (a telephely-biztonsági tanúsítványnál és az akkreditációknál). Több nekünk nyilatkozó szakértő is azt emelte ki, hogy ezek azok, amelyeket egyszerűen nem lehet meggyorsítani: aki nem felel meg, annak ki kell várnia, így ezek a feltételek hosszú évekre bebiztosítják a Hunguard egyeduralmát.

„Jött a rendelet, hogy a tanúsító minek feleljen meg, és abban a percben a Hunguardnak már meg is volt ez a feltételrendszer. Vannak benne olyan évszámok, amiknek senki más nem fog tudni megfelelni olyan öt-hét évig”

– mondta egyik forrásunk.

Hallottunk olyan információt is, hogy a különböző akkreditációs területekre vonatkozó évszámok között azért van különbség, mert a Hunguardnak se mindegyikre van egyformán régóta akkreditációja, és amelyik nekik régebb óta van meg, arra szab a rendelet magasabb évszámot; de erre vonatkozó hiteles információt nem sikerült szereznünk, így ezt nem tudtuk megerősíteni. A Hunguardtól többek között erre vonatkozóan is kértünk adatokat, de cikkünk megjelenéséig nem válaszoltak.

Felmerülhetne, hogy a magyar jogszabályok által is hivatkozott uniós rendelet köti meg a magyar jogalkotó kezét, és innen származnak a szigorú feltételek. Ez a rendelet a mellékletében tartalmazza is a megfelelőségértékelő szervezetek által teljesítendő követelményeket. Ezek azonban csak általánosabb érvényű kitételek, a pénzügyi cégek tanúsítására vonatkozó konkrét követelményeket a magyar jogalkotók határozták meg.

A kormányrendelet új verziója azt is rögzíti, hogy amelyik cég nem tudja igazolni, hogy rákerült az SZTFH-listára, azt az MNB-listáról is törölni kell 120 napon belül, azaz november 17-ig. A pénzügyi tanúsítási piac látszólagos többszereplőssége tehát jelen állás szerint már csak néhány hónapig áll fenn, mielőtt a Hunguard minden eddig kitalált listán újra egyedül marad.

Úgy tudjuk, az MNB nem is tudott előre az általuk betartandó rendelet idei módosításáról. „Teljesen fel vannak háborodva, hogy úgy belenyúlnak az őket érintő rendeletbe, hogy nem is tudnak róla, a Közlönyből értesültek csak” – mondta egy forrásunk. Cikkünkhöz megkerestük az MNB-t is, de válaszukban csak annyit írtak: „Köszönjük érdeklődését, javasoljuk a témában illetékes jogalkotó megkeresését.” Azt mindenesetre tudni lehet, hogy 2016-ban a jogalkotó figyelmen kívül hagyta az MNB észrevételeit.

Kérdéseinkkel kerestük az SZTFH-t, illetve a Hunguardot és a Certopot is, de cikkünk megjelenéséig egyiküktől sem érkezett válasz.

Aki NER, az nyer

A Hunguard nem a NER szülötte, a céget már 1990-ben megalapították, de a jelentősebb eredményei 2010 után érkeztek. A története során a tulajdonosi összetétele sűrűn változott, ma 90 százalékban Csik Balázs, 10 százalékban Lengyel Csaba tulajdonában áll. A cég ügyvezetője Szűcs Ákos Balázs.

Csik és Lengyel Rogán Antalhoz fűződő kapcsolata jól ismert. 2016-ban – épp akkortájt, amikor a Hunguard helyzetbe került a pénzügyi intézmények tanúsítása terén – írta meg a Népszabadság, hogy Rogán nemcsak kabinetminiszter, hanem feltaláló is: egy digitális aláírási eljárás közös kidolgozása fűződik hármuk nevéhez.

A technológia felhasználási joga a MobilSign Kft.-hez került, és többek között a Magyar Telekom is alkalmazta az ügyfélszolgálati pontjain – a Telekomnak pedig 2015-ben épp a Hunguard tanúsította a MobilSign rendszerét. A MobilSign Kft. tulajdonosa 2014-ben, az alapítás utáni néhány hónapban Csik Balázs és Lengyel Csaba volt, majd kiszálltak, hogy 2017-ben egy évre mindketten visszatérjenek. Ma Csik a cég egyedüli tulajdonosa és ügyvezetője. A Telekom az aláírási rendszert a Profitrade 90 Kft.-n keresztül vette meg, ebben a cégben Csik Balázsnak kisebbségi tulajdonrésze van, és évekig a cég ügyvezetője is volt.

A szabadalmi hivatal nyilvántartása szerint az „Eljárások elektronikus állomány digitális aláírására, valamint autentikálási eljárás” című szabadalmat feltalálóként hárman jegyzik, de jogosultként már csak Rogán és Csik szerepel. Rogán 2021-ben 408 millió, 2022-ben 288 millió forintot kapott a találmánya után a MobilSigntól, 2017 óta pedig összesen 1,1 milliárdot.

A Hunguardban Csik először 2011 decemberében jelent meg tulajdonosként, Lengyel 2015 májusában csatlakozott hozzá. 2016 januárjától azonban a magyarországi pénzügyi intézmények rendszereit átvizsgáló cégben egy máltai vállalat, a Javelin Investments Ltd. lett a többségi tulajdonos. A Javelin mögött bonyolult máltai-ciprusi cégháló állt, amelynek egyik láncszeme a Panama-iratokban is feltűnt, de a végső tulajdonos kiléte ismeretlen volt, és ezt a nemzetbiztonsági szolgálatokat akkoriban felügyelő Pintér Sándor belügyminiszter sem látta indokoltnak nyilvánosságra hozni. Mindez egyébként akkoriban történt, amikor a kormány épp törvénymódosítással harcolt az offshore-lovagok ellen. Csík és Lengyel végül 2017 májusában vette újra nevére a céget.

Amíg a Hunguard többségi tulajdonosa volt, a Javelin magyarországi kézbesítési megbízottja a cégadatbázis szerint az a Karafiát Ügyvédi Iroda volt, amely a Hunguard jogi képviseletét is ellátta, emellett Rogán polgármestersége alatt az V. kerületi önkormányzatnak, Rogán minisztersége alatt pedig a Miniszterelnöki Kabinetirodának is dolgozott. Azt azóta sem tudni biztosan, hogy akkoriban ki állt a máltai cég mögött, de egy pénzmosás elleni uniós direktívának köszönhetően a későbbi tulajdonosnak már utána lehet nézni: 2018-tól a Rogán Antal jobbkezeként megismert ügyvédé, Kertész Balázsé volt a cég.

Egyébként nem a pénzügyi szektor tanúsítása volt az első alkalom, hogy a jogszabályi feltételek a Hunguardnak kedveztek. Csík Balázs 2011 decemberében került be a cégbe, alig fél évvel ezután úgy módosították a nyerőgépszerverek tanúsításáról még 2011 szeptemberében elfogadott törvényt, hogy a feltételeknek csak a Hunguard felelt meg (aztán egy huszárvágással az egész kaszinón kívüli nyerőgépbizniszt elkaszálta a kormány).

2014-ben is lezajlott egy hasonló történet. Akkor a közműcégek számlázási rendszerére írt elő kötelező tanúsítást a kormány, és a feltételeknek csak a Hunguard felelt meg, majd amikor más cégek is megpróbálkoztak, érkezett egy módosítás, így egy ideig szinte csak a Hunguarddal tudták elvégeztetni a tanúsítást a közműcégek (azért szinte, mert épp a Certop fel tudott mutatni egy darab szerződést akkoriban).

Mennyi pénzről van szó?

A pénzügyi szervezeteknek kiállított tanúsítványok érvényességi ideje a kormányrendelet értelmében egy év, azaz a Hunguard – attól a néhány kivételtől eltekintve, amikor átmenetileg a Certop is megfelelt a követelményeknek – minden érintett pénzügyi szervezetnek minden évben elvégzi a tanúsítást.

Érdekesség, hogy a rendelet szerint a pénzügyi szervezeteknek – bizonyos kivételekkel – eredetileg legkésőbb 2016. november 18-ig szerződniük kellett a Hunguarddal. Az azonban csak a rendelet 2016. november 26-tól hatályos verziójába került bele először, hogy a tanúsító szervezet mennyi pénzt kérhet el. Ezt aztán 2016. decemberében még finomították, azóta változatlan. Ebben is a tanúsított pénzügyi intézmény mérlegfőösszege a meghatározó:

• 10 milliárd forint alatt legfeljebb 5 millió forintot,
• 10 és 1000 milliárd között legfeljebb 25 millió forintot, míg
• 1000 milliárd fölött legfeljebb 60 millió forintot lehet elkérni.

A magántulajdonú pénzügyi szervezeteknek végzett tanúsítások áráról nyilvános információ nem érhető el, de az állami Magyar Fejlesztési Bankkal (MFB) és Magyar Export-Import Bankkal (Eximbank) kötött szerződések megtalálhatók a közbeszerzési adatbázisban. Eszerint 2017 óta az MFB évi 39-49, az Eximbank évi 15-22 millió forintot fizet a Hunguardnak. Csak ez a két intézmény eddig 430 millió forintot fizetett a cégnek az informatikai rendszerei tanúsítására (ebben az Eximbank idei szerződése még nincs benne, mert az általuk rendszerint ősszel kiírt közbeszerzés cikkünk írásakor még nem jelent meg).

A Hunguard pénzügyi teljesítménye az elmúlt néhány évben csökkenő tendenciát mutat, de ha jobban megnézzük az adatokat, árnyaltabb a kép. Az 1990-ben alapított cég beszámolói a kétezres évektől érhetők el, ezekből az látszik, hogy egy-egy kiugrástól eltekintve az éves nettó árbevétele általában bőven 100 millió alatti volt, az adózott eredménye pedig a kétezres évek második felében 1 millió forint környékén mozgott.

2011-ben a nettó árbevétel 49,6 millió, az adózott eredmény 0,4 millió volt, majd Csík Balázs beszállása és a nyerőgépbiznisz beindulása után ez rögtön 162 millióra, illetve 39,7 millióra ugrott. A következő nagyságrendi ugrás azután jött, hogy a Hunguard egyedüli cégként megkezdhette a közműcéges auditálást: 2015-ben 1 439 milliós nettó árbevétellel és 781 milliós adózott eredménnyel zártak. Ez a cég eddigi legnagyobb nyeresége, és a Hunguard történetesen épp az ebből a nyereségből kiutalt osztalék kifizetése előtt került a máltai Javelin Investments Ltd. többségi tulajdonába.

Bár 2018 óta tart a csökkenő tendencia, 1,1 milliárdos nettó árbevétel és 230 milliós adózott eredmény alá azóta se mentek. A legutóbbi céges beszámoló szerint 2022-ben a tulajdonosok 300 millió forint osztalékot vettek ki a cégből.

És akkor mi van?

„A Hunguard az elején olyan volt, mint amilyennek ezek alapján el lehet képzelni, jöttek a totál béna figurák azzal a magabiztossággal, ahogy ez lenni szokott itt Magyarországon. De mostanra egész normális szakembergárdája lett a Hunguardnak. Azon túl, hogy vérlázító az egész, most legalább szakemberek jönnek. Legalább nem teljesen gagyi, amit csinálnak, még haszna is van. Bármilyen fájdalmas, de el kell ismerni, hogy ez egy pozitív változás” – mondta egy pénzügyi cég informatikai vezetője a tanúsítási tapasztalatairól.

Azért is örömteli ez a pozitív változás, mert a tanúsító szervezetek körének bővülésére egyhamar nem lehet számítani. A korábban tűzközelbe került Certopnak a szükséges akkreditációi megvannak, de éveket kell várniuk, hogy újra a tanúsítás közelébe kerülhessenek ebben a szektorban – ha maradt még egyáltalán ilyen ambíciójuk –, más szereplőknek pedig, amelyek eddig nem próbálkoztak, olyan magasra helyezték a belépés idő- és erőforrásbeli küszöbét, hogy gyakorlatilag kizárták őket a részvételből.

Az imént idézett szakember sem számít érdemi változásra a területen: „Egyértelműen látja mindenki, hogy miről van szó. És akkor mi van? Ez egy következmények nélküli ország.”