Sadržaj vodiča
- Ukratko
- Što je kibernetički napad
- Kibernetički napadi u Hrvatskoj: podaci za 2025.
- Primjeri kibernetičkih napada u Hrvatskoj
- Vrste kibernetičkih napada
- Kako napad teče: od prvog pristupa do štete
- Kako zaštititi tvrtku od kibernetičkih napada
- Kibernetički napadi i NIS2
- Što učiniti nakon kibernetičkog napada
- Kome prijaviti kibernetički napad
- Koliko košta kibernetički napad
- Kibernetičko osiguranje
- Česta pitanja
- Sljedeći korak
- Izvori i pregled
Kibernetički napad, u svakodnevnom govoru hakerski napad, namjerni je pokušaj da se neovlašteno pristupi računalnom sustavu, mreži ili podacima, da se oni ukradu, izmijene, unište ili da se onemogući njihov rad. Napadač pritom najčešće cilja na novac: otkupninu, prijevaru s plaćanjem ili prodaju ukradenih podataka. U Hrvatskoj većinu takvih radnji Kazneni zakon propisuje kao kaznena djela protiv računalnih sustava, programa i podataka.
Vodič prikazuje stanje na 4. studenoga 2026. Objašnjava vrste napada, službene podatke za Hrvatsku, poznate slučajeve, mjere zaštite i obveze tvrtke kada do napada dođe.
Ukratko
- Policija je u 2025. evidentirala 2.161 kazneno djelo kibernetičkog kriminaliteta, 9,6 % manje nego 2024. Šteta je porasla za 22,78 %, na 20.840.868 eura (Izvješće o radu policije za 2025.).
- Ransomware je prema policiji najveća prijetnja za tvrtke i javne ustanove, a internetske prijevare za građane.
- Nacionalni CERT zabilježio je 1.513 incidenata, 35,9 % više nego 2024. Najčešći su phishing (32 %), neželjene poruke (19 %) i druge financijski motivirane prijevare (18 %).
- Većina napada počinje kod ljudi i lozinki: lažnom porukom, ukradenim pristupnim podacima ili neažuriranim sustavom izloženim internetu.
- Ključni i važni subjekti prema Zakonu o kibernetičkoj sigurnosti šalju rano upozorenje o značajnom incidentu u 24 sata, početnu obavijest u 72 sata i završno izvješće u 30 dana.
- Povreda osobnih podataka prijavljuje se AZOP-u u 72 sata od saznanja (čl. 33. GDPR-a), neovisno o tome je li tvrtka NIS2 subjekt.
Što je kibernetički napad
Kibernetički napad je svaka namjerna radnja usmjerena protiv povjerljivosti, cjelovitosti ili dostupnosti informacijskih sustava i podataka. Razlikuje se od kibernetičkog incidenta: incident je svaki događaj koji ugrožava sustav ili podatke, a može nastati i zbog pogreške zaposlenika ili kvara, bez napadača.
Kazneni zakon u glavi XXV. propisuje kaznena djela protiv računalnih sustava, programa i podataka:
| Članak | Kazneno djelo | Primjer |
|---|---|---|
| 266. | Neovlašteni pristup | Prijava u tuđi sustav ili račun ukradenom lozinkom |
| 267. | Ometanje rada računalnog sustava | DDoS napad koji onemogući internetsku trgovinu |
| 268. | Oštećenje računalnih podataka | Šifriranje ili brisanje podataka ransomwareom |
| 269. | Neovlašteno presretanje računalnih podataka | Presretanje mrežnog prometa ili e-pošte |
| 270. | Računalno krivotvorenje | Izrada lažnih podataka koji se predstavljaju kao vjerodostojni |
| 271. | Računalna prijevara | Preusmjeravanje uplate izmjenom podataka, kazna zatvora od šest mjeseci do pet godina |
| 272. | Zlouporaba naprava | Izrada, nabava ili širenje alata i lozinki za napade |
| 273. | Teška kaznena djela | Napad na sustave državnih tijela ili javnih ustanova, napad na veći broj sustava ili sa znatnom štetom |
Motivi napadača određuju i način napada:
- financijska korist: ransomware, prijevare s plaćanjem, krađa i prodaja podataka. To je najčešći motiv;
- špijunaža: dugotrajan, prikriven pristup radi krađe poslovnih ili državnih informacija;
- haktivizam: DDoS napadi i izmjena web-stranica iz političkih razloga;
- sabotaža: onemogućavanje rada infrastrukture ili proizvodnje;
- unutarnji motivi: nezadovoljni zaposlenik ili bivši suradnik koji zloupotrebljava pristup.
Kibernetički napadi u Hrvatskoj: podaci za 2025.
Policija. Prema Izvješću o radu policije za 2025., broj prijavljenih kaznenih djela kibernetičkog kriminaliteta porastao je s 1.564 u 2018. na 2.161 u 2025., odnosno za 38,35 %. Računalne prijevare porasle su za 26,49 % i dosegnule 1.656 slučajeva. Policija navodi da su često povezane s phishingom, lažnim investicijama ili krađom identiteta. Generativna umjetna inteligencija, prema istom izvješću, smanjila je trošak i znanje potrebno za napad i omogućila masovni personalizirani phishing te prijevare kloniranim glasom i lažnim video pozivima u stvarnom vremenu.
Nacionalni CERT. Od 1.513 incidenata koje je Nacionalni CERT zaprimio ili otkrio 2025., najzastupljenije vrste bile su:
| Vrsta incidenta | Broj u 2025. |
|---|---|
| Phishing napad | 478 |
| Neželjene poruke | 283 |
| Ostale financijski motivirane prijevare (lažne trgovine, investicije, „rad od kuće”, sextortion) | 277 |
| Napadačka infrastruktura | 187 |
| Pogađanje pristupnih podataka | 84 |
| Neovlaštena izmjena sadržaja (web-stranice) | 66 |
| Poslovne prijevare | 38 |
| Krađa pristupnih podataka | 23 |
| Uskraćivanje usluge (DoS i DDoS) | 9 |
| Ucjenjivački napadi | 7 |
Ostale financijski motivirane prijevare porasle su s 12 na 277 slučajeva. CERT je u Hrvatskoj zabilježio i 126.098 botova, odnosno zaraženih uređaja, 33,37 % manje nego 2024. Najviše se širio zlonamjerni softver za krađu podataka (engl. stealer), koji krade lozinke spremljene u preglednicima.
NIS2 subjekti u 2026. Prema pregledu NCSC-HR-a za treće tromjesečje 2026., ključni i važni subjekti prijavili su u tom tromjesečju 125 incidenata, od čega 23 značajna. Većina se odnosila na ispade usluga zbog tehničkog kvara, phishing i druge prijevare. Zabilježeno je sedam ransomware napada, od kojih je šest zaustavljeno prije šifriranja sustava. NCSC-HR navodi da napadači u naprednim napadima na hrvatske ciljeve sve više koriste alate umjetne inteligencije za brže otkrivanje i iskorištavanje ranjivosti, posebno u namjenski izrađenim web-aplikacijama bez sigurnosnog testiranja. Gotovo svi oportunistički napadi, prema NCSC-HR-u, ne bi uspjeli da su provedene osnovne mjere kibernetičke sigurnosti.
Europska unija. ENISA je u izvješću Threat Landscape 2026 analizirala 8.257 incidenata iz 2025. DDoS je činio 51,3 %, a neovlašteni pristup 39,5 % incidenata. DDoS napadi bili su većinom haktivistički, s malim učinkom, dok je ransomware imao najveći učinak na poslovanje. Phishing je činio 77,8 % tehnika društvenog inženjeringa.
Izvori mjere različite stvari: policija broji prijavljena kaznena djela, CERT incidente koje je zaprimio ili otkrio, a ENISA incidente iz javnih izvora. Brojke se zato ne zbrajaju i ne obuhvaćaju sve napade. Mnoge tvrtke napad ne prijave.
Primjeri kibernetičkih napada u Hrvatskoj
| Kada | Meta | Što se dogodilo |
|---|---|---|
| Lipanj 2024. | KBC Zagreb | Bolnica je 27. lipnja objavila da je pogođena kibernetičkim napadom i isključila sve informatičke sustave radi provjera. Sustavi su ponovno proradili nakon nekoliko dana, a napad su istraživali policija i SOA. |
| Lipanj 2024. | Ministarstvo financija, Porezna uprava, HNB, Zagrebačka burza | DDoS napadi privremeno su onemogućili mrežne stranice. Odgovornost je preuzela proruska skupina NoName057(16). |
| Prosinac 2024. | Luka Rijeka | Skupina 8Base objavila je da je ukrala podatke i zatražila otkupninu. Uprava je potvrdila napad, otkupnina nije plaćena, a promet tereta nije bio ugrožen. |
| 2025. | Obrazovna ustanova (prema CERT-u) | Ransomware LockBit 3 onemogućio je pristup internetu i e-pošti. Sustav je oporavljen podizanjem nove infrastrukture. |
| 2025. | Internetske trgovine na .hr domenama (prema CERT-u) | Na stranicama je postavljen digitalni skimmer za krađu podataka s kartica. Zbog pogrešne konfiguracije podaci nisu ukradeni. |
Vrste kibernetičkih napada
| Vrsta | Cilj napadača | Znakovi napada |
|---|---|---|
| Phishing i socijalni inženjering | Navesti osobu da otkrije lozinku, odobri prijavu, plati ili otvori privitak | Hitnost, nepoznati pošiljatelj, lažna domena, zahtjev za promjenu računa za uplatu |
| Ransomware | Šifrirati ili ukrasti podatke i tražiti otkupninu | Nedostupne datoteke, poruka s uputama za plaćanje, isključeni sigurnosni alati |
| DDoS | Onemogućiti uslugu prometom iz velikog broja izvora | Nagli rast prometa, sporost i ispad stranice ili aplikacije |
| Zlonamjerni softver (malver) | Ukrasti podatke, preuzeti uređaj ili ga uključiti u botnet | Neobični procesi, odlazni promet prema nepoznatim adresama |
| Napadi na lozinke | Pogoditi ili iskoristiti ukradene lozinke | Mnogo neuspjelih prijava, prijave iz drugih država |
| Iskorištavanje ranjivosti | Ući kroz pogrešku u softveru ili konfiguraciji | Upozorenje proizvođača, neobični zahtjevi prema izloženom sustavu |
| Napad na opskrbni lanac | Doći do cilja preko dobavljača ili ažuriranja softvera | Neočekivana aktivnost računa dobavljača ili promjena u paketu softvera |
| Unutarnja prijetnja | Zloupotrijebiti postojeći pristup | Masovno preuzimanje podataka, pristup izvan radnih zadataka |
| Napad na web-stranicu | Izmijeniti sadržaj ili ugraditi kod za krađu podataka | Promijenjen sadržaj, nepoznata skripta na stranici za plaćanje |
Phishing i socijalni inženjering
Phishing je lažna poruka koja oponaša banku, dostavnu službu, državno tijelo ili poslovnog partnera. CERT je 2025. bilježio kampanje koje su oponašale energetske tvrtke, sustav e-Dozvola, odvjetnička društva, kurirske službe i policiju. Oblici:
| Oblik | Kako izgleda |
|---|---|
| Ciljani phishing (spear phishing) | Poruka napisana za određenu osobu, s podacima o njezinu poslu |
| Prijevara s poslovnom e-poštom (BEC) | Lažni direktor ili dobavljač traži hitnu uplatu ili promjenu IBAN-a |
| Smishing | SMS s poveznicom za „plaćanje dostave” ili „povrat novca” |
| Vishing | Telefonski poziv osobe koja se predstavlja kao banka, policija ili IT podrška |
| Quishing | QR kod na letku, računu ili e-poruci koji vodi na lažnu stranicu |
| Deepfake | Klonirani glas ili lažni video poziv člana uprave |
Najvažnija mjera protiv prijevare s plaćanjem je pravilo: svaku promjenu računa za uplatu i neuobičajenu isplatu potvrditi drugim, unaprijed poznatim kanalom, nikada kontaktom iz primljene poruke. Detaljno u vodiču o phishing napadima.
Ransomware i iznuda
Ransomware je zlonamjerni softver koji šifrira podatke i sustave, a napadač za ključ traži otkupninu. Napad obično teče ovim redom:
- ulaz: phishing, ukradena lozinka za VPN ili udaljenu radnu površinu, ranjivi sustav izložen internetu;
- širenje: napadač preuzima administratorske ovlasti i kreće se mrežom;
- krađa podataka: podaci se kopiraju izvan tvrtke prije šifriranja;
- brisanje kopija: napadač pokušava izbrisati ili šifrirati sigurnosne kopije;
- šifriranje i ucjena: sustavi prestaju raditi, a napadač prijeti objavom ukradenih podataka.
Kod dvostruke iznude napadač traži plaćanje i za ključ i za to da ne objavi podatke. Plaćanje ne jamči ni ključ ni brisanje podataka. Portal No More Ransom, koji policija preporučuje, nudi besplatne alate za dešifriranje nekih vrsta ransomwarea. Više u vodiču o ransomwareu.
DDoS napadi
Napad uskraćivanjem usluge (DDoS, engl. distributed denial of service) preplavljuje poslužitelj, mrežu ili aplikaciju prometom iz tisuća zaraženih uređaja. Podaci se ne kradu, ali usluga postaje nedostupna. Napadi mogu ciljati propusnost mreže, mrežne protokole ili samu aplikaciju, primjerice obrazac za prijavu. Zaštita uključuje uslugu zaštite od DDoS-a kod pružatelja interneta ili mreže za isporuku sadržaja, ograničavanje broja zahtjeva i plan rada u slučaju ispada. Detaljno u vodiču o DDoS napadima.
Zlonamjerni softver
| Vrsta | Što radi |
|---|---|
| Kradljivac podataka (stealer) | Krade lozinke, kolačiće sesija i podatke iz preglednika |
| Trojanac | Skriva se u naizgled korisnom programu ili privitku |
| Crv | Sam se širi mrežom koristeći ranjivosti |
| Špijunski softver | Prati aktivnost korisnika i šalje podatke napadaču |
| Keylogger | Bilježi pritiske tipki, uključujući lozinke |
| Rootkit | Skriva prisutnost napadača u operacijskom sustavu |
| Bot | Uključuje uređaj u mrežu zaraženih uređaja (botnet) za DDoS ili slanje neželjene pošte |
CERT je 2025. bilježio privitke s kradljivcima podataka kao što su AgentTesla, SnakeKeylogger, GuLoader i PureLogs. Napadači su najčešće oponašali privatne tvrtke i državne institucije.
Napadi na lozinke i račune
Napadač pogađa jednostavne lozinke (password spraying), isprobava parove korisničkih imena i lozinki ukradene u drugim curenjima (credential stuffing) ili zasipa korisnika zahtjevima za višefaktorsku potvrdu dok ga ne odobri. CERT je 2025. zabilježio 84 slučaja pogađanja pristupnih podataka. Višefaktorska autentifikacija otporna na phishing, zabrana ponovne uporabe lozinki i praćenje neobičnih prijava zaustavljaju većinu takvih napada.
Iskorištavanje ranjivosti
Ranjivost je pogreška u softveru ili konfiguraciji koja napadaču omogućuje ulaz ili veće ovlasti. Najopasnije su ranjivosti u sustavima izloženima internetu: VPN uređajima, vatrozidima, poslužiteljima e-pošte i alatima za suradnju. CERT je 2025. izdao upozorenja za kritične ranjivosti u Fortinet i Ivanti sustavima te za ranjivost Microsoft SharePointa poznatu kao „ToolShell”. Ranjivost za koju još ne postoji zakrpa naziva se ranjivost nultog dana (zero-day).
Napadi na opskrbni lanac
Napadač ugrozi dobavljača softvera ili usluge i preko njega dođe do njegovih klijenata. Poznati primjeri su kompromitirano ažuriranje softvera SolarWinds Orion 2020., napad na alat za udaljeno upravljanje Kaseya VSA 2021. te iskorištavanje ranjivosti u alatu za prijenos datoteka MOVEit 2023., koje je pogodilo tisuće organizacija. Uredba o kibernetičkoj sigurnosti zato traži da ključni i važni subjekti utvrde izravne dobavljače, procijene njihov rizik i u ugovore uključe sigurnosne zahtjeve (Prilog II., mjera 8.). Procjenu dobavljača opisuje usluga upravljanja rizikom dobavljača.
Unutarnje prijetnje
Unutarnja prijetnja dolazi od osobe s legitimnim pristupom: zaposlenika, bivšeg zaposlenika ili dobavljača. Može biti namjerna (krađa podataka prije odlaska u konkurenciju) ili nenamjerna (podaci poslani pogrešnom primatelju). Mjere su najmanje potrebne ovlasti, brzo ukidanje pristupa pri odlasku, bilježenje pristupa osjetljivim podacima i jasna pravila o korištenju podataka.
Napadi na web-stranice
Napadač iskoristi zastarjeli sustav za upravljanje sadržajem ili dodatak i izmijeni stranicu ili na stranicu za plaćanje ugradi skriptu koja krade podatke s kartica. CERT je 2025. zabilježio 66 slučajeva neovlaštene izmjene sadržaja i digitalne skimmere na internetskim trgovinama s .hr domenom.
Kako napad teče: od prvog pristupa do štete
Većina napada na tvrtke prolazi iste faze. Svaka faza je prilika da se napad zaustavi:
| Faza | Što napadač radi | Kontrola koja ga zaustavlja |
|---|---|---|
| Izviđanje | Prikuplja e-adrese, imena zaposlenika, popis izloženih sustava | Smanjenje javno izloženih sustava, edukacija o objavama |
| Prvi pristup | Phishing, ukradena lozinka, ranjivi sustav | Filtriranje e-pošte, višefaktorska autentifikacija, zakrpe |
| Učvršćivanje | Instalira alat za trajni pristup | Zaštita krajnjih točaka s otkrivanjem i odgovorom (EDR) |
| Širenje i ovlasti | Preuzima administratorske račune | Odvojeni administratorski računi, segmentacija mreže |
| Krađa podataka | Kopira podatke izvan mreže | Praćenje odlaznog prometa, sprječavanje curenja podataka |
| Učinak | Šifrira, briše, preusmjerava uplatu | Odvojene i testirane sigurnosne kopije, plan odgovora |
Kako zaštititi tvrtku od kibernetičkih napada
Tehničke mjere s najvećim učinkom:
| Mjera | Kako je provesti | Dokaz da radi |
|---|---|---|
| Višefaktorska autentifikacija | Za e-poštu, VPN, aplikacije u oblaku i sve administratorske račune | Izvještaj o računima bez MFA, cilj nula |
| Zakrpe i ranjivosti | Prednost za sustave izložene internetu i ranjivosti koje se aktivno iskorištavaju | Evidencija rokova, iznimki i ponovne provjere |
| Sigurnosne kopije | Pravilo 3-2-1, barem jedna kopija odvojena od mreže ili nepromjenjiva | Uspješno testirani povrat u planiranom roku |
| Zaštita krajnjih točaka | EDR na računalima i poslužiteljima, s praćenjem upozorenja | Pokrivenost uređaja i vrijeme reakcije na upozorenje |
| Zaštita e-pošte | Filtriranje privitaka i poveznica, SPF, DKIM i DMARC za vlastitu domenu | Testovi konfiguracije, broj prijavljenih sumnjivih poruka |
| Najmanje ovlasti | Odvojeni administratorski računi, pregled ovlasti svaka tri do šest mjeseci | Zapis pregleda i ukinutih ovlasti |
| Segmentacija mreže | Odvajanje poslužitelja, korisničkih uređaja, gostujuće mreže i proizvodnje | Test blokiranog prometa između segmenata |
| Bilježenje i praćenje | Centralni dnevnički zapisi za prijave, administratorske radnje i vatrozid | Upozorenje koje stigne do odgovorne osobe |
Organizacijske mjere:
- popis kritičnih usluga, sustava i podataka s vlasnicima i redoslijedom oporavka;
- procjena rizika koja povezuje prijetnje s poslovnim posljedicama;
- redovita edukacija zaposlenika o sigurnosti i simulacije phishinga;
- pravilo dvostruke potvrde za plaćanja i promjene bankovnih podataka;
- sigurnosni zahtjevi u ugovorima s dobavljačima i pregled njihovih pristupa;
- plan odgovora na incident s kontaktima, ovlastima i rezervnim kanalom komunikacije, provjeren vježbom za stolom;
- penetracijsko testiranje sustava izloženih internetu.
Za male tvrtke s ograničenim resursima prvih pet koraka su višefaktorska autentifikacija, zakrpe, odvojene sigurnosne kopije, zaštita e-pošte i pravilo potvrde plaćanja.
Kibernetički napadi i NIS2
Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba o kibernetičkoj sigurnosti (NN 135/2024) obvezuju ključne i važne subjekte da provode mjere upravljanja kibernetičkim sigurnosnim rizicima iz Priloga II. Uredbe, na razini koju određuje obavijest o kategorizaciji. Mjere obuhvaćaju, među ostalim, upravljanje rizicima, kontrolu pristupa, upravljanje ranjivostima, sigurnost lanca opskrbe, sigurnosne kopije i kontinuitet poslovanja te upravljanje incidentima.
Za značajan incident Uredba propisuje:
- rano upozorenje nadležnom CSIRT-u bez odgode, a najkasnije u 24 sata od saznanja (čl. 66.);
- početnu obavijest bez odgode, a najkasnije u 72 sata od saznanja (čl. 67.);
- završno izvješće najkasnije 30 dana od početne obavijesti (čl. 70.). Ako incident još traje, umjesto njega dostavlja se izvješće o napretku, a za incident duži od 60 dana izvješće o napretku svakih 30 dana (čl. 71.).
Prijava se podnosi putem platforme PiXi. Nacionalni CERT od svibnja 2025. preko nje zaprima prijave subjekata iz bankarstva, infrastrukture financijskog tržišta, digitalne infrastrukture, istraživanja i obrazovanja. Za ostale sektore nadležan je CSIRT pri NCSC-HR-u.
Kazne za ključne subjekte iznose od 10.000 do 10.000.000 eura ili od 0,5 % do 2 % ukupnog svjetskog godišnjeg prometa, ovisno o tome koji je iznos veći (čl. 101. Zakona). Za važne subjekte raspon je od 5.000 do 7.000.000 eura ili od 0,2 % do 1,4 % prometa (čl. 102.). Pomoć pri usklađivanju opisana je na stranici NIS2 usklađenosti.
Što učiniti nakon kibernetičkog napada
- Otvorite zapis incidenta. Zabilježite vrijeme saznanja, tko je prijavio, koje su usluge pogođene i što se zna. Odvojite činjenice od pretpostavki.
- Okupite tim. Osoba s ovlasti za odluke, IT i sigurnost, vlasnik pogođene usluge te prema potrebi pravna služba, službenik za zaštitu podataka i komunikacije.
- Ograničite širenje. Izolirajte zaražene uređaje od mreže i blokirajte kompromitirane račune. Ne gasite sve sustave bez plana, jer se tako gube dokazi iz radne memorije.
- Sačuvajte dokaze. Dnevnički zapisi, izvorna poruka sa zaglavljima, snimke zaslona, poruka napadača i popis radnji koje je tim poduzeo.
- Procijenite obveze prijave. NIS2 (24 sata), GDPR (72 sata), DORA za financijske subjekte, ugovorne obveze prema klijentima i kaznena prijava policiji.
- Uklonite uzrok. Zatvorite ulaz napadača, promijenite lozinke i ključeve, opozovite sesije, zakrpajte ranjivost i potražite druge tragove napadača.
- Oporavite sustave. Vraćajte sustave iz provjereno čistih kopija prema poslovnom prioritetu i pojačano ih pratite.
- Izvucite pouke. Analiza uzroka, korektivne mjere s rokovima i ažuriranje plana odgovora.
Ako je napad u tijeku, koristite unaprijed dogovorene kontakte. Pomoć opisuje stranica odgovora na incidente, a postupak vodič o upravljanju kibernetičkim incidentima.
Kome prijaviti kibernetički napad
| Kome | Kada | Kako |
|---|---|---|
| Policija | Svako kazneno djelo: neovlašteni pristup, ucjena, računalna prijevara | Broj 192, policijska postaja ili pisana prijava |
| Nadležni CSIRT (Nacionalni CERT ili CSIRT pri NCSC-HR-u) | Značajan incident ključnog ili važnog subjekta: 24 sata, 72 sata, 30 dana | Platforma PiXi |
| Nacionalni CERT | Ostali incidenti građana i tvrtki: phishing, lažne trgovine, zaraženi uređaji | Obrazac za prijavu incidenta na cert.hr |
| AZOP | Povreda osobnih podataka koja vjerojatno predstavlja rizik za ispitanike: 72 sata | Obrazac za izvješćivanje o povredi |
| HNB ili HANFA | Veliki IKT incident financijskog subjekta prema DORA-i | Prema pravilima nadležnog tijela |
| Banka | Neovlaštena platna transakcija ili preusmjerena uplata | Odmah, radi pokušaja zaustavljanja ili povrata |
Koliko košta kibernetički napad
Prosječan trošak povrede podataka u svijetu iznosi 4,99 milijuna USD prema IBM-ovu izvješću Cost of a Data Breach za 2026. U Hrvatskoj je policija za 2025. evidentirala 20.840.868 eura štete od kibernetičkih kaznenih djela, a stvarna je šteta veća jer se mnogi napadi ne prijavljuju.
Trošak napada čine:
- prekid poslovanja i izgubljeni prihod;
- rad na istrazi, oporavku sustava i podataka;
- pravna pomoć i obavještavanje pogođenih osoba;
- novčane kazne: prema GDPR-u do 20 milijuna eura ili 4 % svjetskog prometa, prema Zakonu o kibernetičkoj sigurnosti do 10 milijuna eura ili 2 % prometa;
- odštetni zahtjevi klijenata i partnera;
- šteta za ugled i izgubljeni poslovi.
Prema tvrtki Coveware, stopa plaćanja otkupnine u trećem tromjesečju 2026. ostala je blizu povijesnih minimuma, a velika većina žrtava nije platila. Ulaganje u sigurnosne kopije i plan oporavka smanjuje pritisak da se plati.
Kibernetičko osiguranje
Polica kibernetičkog osiguranja obično pokriva troškove istrage, oporavka podataka, obavještavanja pogođenih osoba, pravne pomoći, odštetne zahtjeve trećih strana i dio izgubljenog prihoda zbog prekida rada. Opseg ovisi o konkretnoj polici.
Osiguratelji prije sklapanja police procjenjuju sigurnosne mjere tvrtke i najčešće pitaju o višefaktorskoj autentifikaciji, sigurnosnim kopijama, zakrpama, edukaciji zaposlenika i planu odgovora na incident. Netočni odgovori u upitniku mogu dovesti do odbijanja isplate. Osiguranje ne zamjenjuje zaštitu: ne vraća podatke, ne uklanja obvezu prijave i ne pokriva kazne u svim slučajevima.
Česta pitanja
Što je kibernetički napad?
Kibernetički napad je namjerni pokušaj neovlaštenog pristupa računalnom sustavu, mreži ili podacima radi njihove krađe, izmjene, uništenja ili onemogućavanja rada. Najčešći su phishing, ransomware, DDoS, krađa lozinki i iskorištavanje ranjivosti. U Hrvatskoj su takve radnje kaznena djela iz glave XXV. Kaznenog zakona.
Koje su najčešće vrste kibernetičkih napada?
U Hrvatskoj je 2025. najčešći incident koji je zabilježio Nacionalni CERT bio phishing (478 od 1.513 incidenata), zatim neželjene poruke i financijske prijevare. Policija navodi ransomware kao najveću prijetnju za tvrtke. U EU-u je prema ENISA-i DDoS činio 51,3 % analiziranih incidenata.
Koliko je kibernetičkih napada bilo u Hrvatskoj 2025.?
Policija je evidentirala 2.161 kazneno djelo kibernetičkog kriminaliteta, uz štetu od 20,8 milijuna eura. Nacionalni CERT zabilježio je 1.513 incidenata, 35,9 % više nego 2024. Obje brojke obuhvaćaju samo prijavljene ili otkrivene slučajeve.
Je li mala tvrtka premala da bi bila meta?
Nije. Phishing, krađa lozinki i skeniranje ranjivih sustava provode se automatizirano i masovno, bez obzira na veličinu žrtve. Male tvrtke često imaju slabije zaštićene račune i bez provjerenih sigurnosnih kopija, pa ih napad može zaustaviti na duže vrijeme.
Kome prijaviti kibernetički napad u Hrvatskoj?
Kazneno djelo prijavite policiji na 192. Ključni i važni subjekti značajan incident prijavljuju nadležnom CSIRT-u putem platforme PiXi u 24 sata. Ostali incidenti prijavljuju se Nacionalnom CERT-u. Povredu osobnih podataka tvrtka prijavljuje AZOP-u u 72 sata, a preusmjerenu uplatu odmah banci.
Treba li platiti otkupninu kod ransomwarea?
Portal No More Ransom, zajednička inicijativa Europola, nizozemske policije i sigurnosnih tvrtki, savjetuje da se otkupnina ne plaća. Plaćanje ne jamči dobivanje ključa ni brisanje ukradenih podataka, a financira daljnje napade. Prije odluke provjerite postoje li čiste sigurnosne kopije i besplatni alat za dešifriranje na portalu No More Ransom.
Je li antivirus dovoljan za zaštitu tvrtke?
Nije. Antivirus otkriva dio zlonamjernog softvera, ali ne sprječava prijevaru s plaćanjem, prijavu ukradenom lozinkom, iskorištavanje ranjivog VPN-a ni gubitak podataka bez sigurnosnih kopija. Potrebni su višefaktorska autentifikacija, zakrpe, odvojene kopije, zaštita e-pošte i plan odgovora.
Koja je razlika između kibernetičkog napada i incidenta?
Napad je namjerna radnja napadača. Incident je svaki događaj koji ugrožava sustav ili podatke, uključujući pogrešku zaposlenika, kvar ili gubitak uređaja. Svaki uspješan napad je incident, ali svaki incident nije napad. Obveze prijave vežu se uz incident, neovisno o uzroku.
Pokriva li osiguranje kibernetičke napade?
Polica kibernetičkog osiguranja pokriva dio troškova istrage, oporavka, obavještavanja i odšteta, ovisno o ugovoru. Osiguratelji traže minimalne mjere, najčešće višefaktorsku autentifikaciju i sigurnosne kopije. Osiguranje ne vraća podatke i ne zamjenjuje zakonske obveze prijave.
Što je deepfake prijevara?
Prijevara u kojoj napadač koristi klonirani glas ili lažni video poziv, najčešće člana uprave ili poslovnog partnera, kako bi naveo zaposlenika na hitnu uplatu. Policija u izvješću za 2025. navodi porast takvih prijevara u stvarnom vremenu. Zaštita je obvezna potvrda uplate drugim, poznatim kanalom.
Sljedeći korak
Procjenu rizika, plan mjera, provjeru izloženih sustava i pripremu plana odgovora na incident radimo u sklopu usluge kibernetičke sigurnosti. Ako je napad u tijeku ili tek završio, pomoć opisuje stranica odgovora na incidente.
Izvori i pregled
Pregledano 4. studenoga 2026. prema sljedećim izvorima:
- Izvješće o radu policije za 2025., Hrvatski sabor
- MUP: Statistički pregled temeljnih sigurnosnih pokazatelja za 2025.
- Nacionalni CERT: godišnji izvještaj za 2025.
- NCSC-HR: Pregled implementacije Zakona o kibernetičkoj sigurnosti, Q3 2026.
- ENISA Threat Landscape 2026
- Kazneni zakon, glava XXV.
- Zakon o kibernetičkoj sigurnosti, NN 14/2024
- Uredba o kibernetičkoj sigurnosti, NN 135/2024
- Nacionalni CERT: prijava incidenta
- Coveware: izvješće za treće tromjesečje 2026.
- IBM: Cost of a Data Breach Report 2026
- tportal: premijer o kibernetičkom napadu na KBC Zagreb, 29. lipnja 2024.
- N1: proruska skupina preuzela odgovornost za napade na hrvatske institucije
- tportal: napad na Luku Rijeka, prosinac 2024.
Ovaj vodič daje opće informacije. Kategorizaciju subjekta, značajnost incidenta i obveze prijave treba procijeniti prema konkretnim činjenicama.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.