Hrvatski Zakon o kibernetičkoj sigurnosti ne propisuje samo europske maksimalne iznose. Propisuje raspone kazni za ključne i važne subjekte te zasebne kazne za odgovorne fizičke osobe. Za ključni subjekt raspon počinje od 10.000 eura, a za važni od 5.000 eura; postotni raspon primjenjuje se kada daje veći iznos.
Jednako je važno što incident sam po sebi nije automatski prekršaj. Odgovornost nastaje zbog utvrđenog neprovođenja mjera, neprijavljivanja značajnog incidenta, neosiguravanja upravljačkog nadzora, nesuradnje ili nepostupanja po korektivnim mjerama.
Ključne poruke za upravu
- Ključni subjekt može biti kažnjen od 10.000 do 10 milijuna eura ili od 0,5% do najviše 2% svjetskog godišnjeg prometa, ovisno o tome koji je iznos veći.
- Važni subjekt može biti kažnjen od 5.000 do 7 milijuna eura ili od 0,2% do najviše 1,4% svjetskog godišnjeg prometa, prema istom pravilu.
- Odgovorne fizičke osobe ključnog subjekta mogu biti kažnjene od 1.000 do 6.000 eura, a važnog od 500 do 3.000 eura.
- Upravljačko tijelo mora odobravati mjere, kontrolirati provedbu i osigurati odgovarajuće osposobljavanje.
- Privremena zabrana upravljačkih dužnosti nije automatska kazna nakon incidenta; moguća je za ključni subjekt koji ne postupi po izrečenim korektivnim mjerama, pod uvjetima iz Zakona.
Točni hrvatski rasponi kazni
| Prekršajno odgovorna osoba | Fiksni raspon | Postotni raspon | Pravilo |
|---|---|---|---|
| Ključni subjekt | 10.000–10.000.000 € | 0,5%–najviše 2% ukupnog godišnjeg prometa subjekta na svjetskoj razini u prethodnoj financijskoj godini | Primjenjuje se veći iznos |
| Važni subjekt | 5.000–7.000.000 € | 0,2%–najviše 1,4% istog mjerodavnog prometa | Primjenjuje se veći iznos |
| Odgovorna fizička osoba ključnog subjekta | 1.000–6.000 € | — | Za prekršaje subjekta iz članka 101. |
| Odgovorna fizička osoba važnog subjekta | 500–3.000 € | — | Za prekršaje subjekta iz članka 102. |
Često citirana formulacija „do 10 milijuna eura ili 2%“ opisuje samo vrh režima. Za pravnu analizu treba čitati cijeli raspon i hrvatsko pravilo „ovisno o tome koji je iznos veći“. Zakon govori o prometu dotičnog subjekta; način primjene u složenoj grupi ne treba unaprijed proglašavati bez konkretne pravne i financijske analize.
Za koje se povrede kazne mogu izreći
Članci 101. i 102. Zakona navode usporedive skupine prekršaja za obje kategorije. Među njima su:
- neprovođenje, djelomično provođenje ili zakašnjelo provođenje mjera upravljanja rizicima
- nekorištenje certificiranih IKT proizvoda, usluga ili procesa kada je takva obveza posebno propisana
- propust odgovornih osoba da odobravaju mjere, kontroliraju provedbu ili osiguraju osposobljavanje
- neprijavljivanje značajnog incidenta ili zakašnjela prijava
- propust obavještavanja pogođenih primatelja usluga kada je to obvezno
- neprovođenje revizije ključnog odnosno samoprocjene važnog subjekta
- nedostavljanje propisanog izvješća, izjave ili plana
- ometanje revizije ili stručnog nadzora
- nesuradnja s nadležnim CSIRT-om ili nadležnim tijelom
- nepostupanje ili djelomično postupanje po korektivnim mjerama.
Za nedostavljanje podataka potrebnih za kategorizaciju ili poseban registar postoje zasebne kazne iz članka 103.: 2.000 do 20.000 eura za subjekt te 200 do 1.000 eura za odgovornu osobu.
Incident nije isto što i prekršaj
Kibernetički incident može se dogoditi i organizaciji koja provodi razmjerne mjere. NCSC-HR u službenim odgovorima naglašava da incident sam po sebi ne znači prekršajnu odgovornost. Potrebno je utvrditi je li subjekt prekršio zakonsku obvezu, primjerice nije proveo mjeru, nije prijavio značajan incident ili je ignorirao ponavljajuće uzroke.
To je važno i za kulturu prijave. Uprava ne bi trebala poticati skrivanje incidenta iz straha da prijava automatski vodi kazni. Neprijavljivanje značajnog incidenta zaseban je izričito kažnjiv propust.
Tko je odgovoran unutar organizacije
Članak 29. Zakona odgovornost za upravljanje mjerama stavlja na članove upravljačkih tijela ključnih i važnih subjekata, odnosno odgovarajuće čelnike i izvršna tijela u javnom sektoru. Obveze se mogu odnositi i na druge fizičke osobe koje na temelju ovlasti sudjeluju u nadzoru, zastupanju ili odlučivanju o mjerama i njihovoj provedbi.
Odgovorne osobe dužne su:
- odobravati mjere kojima se subjekt usklađuje sa Zakonom i Uredbom
- kontrolirati njihovu provedbu
- pohađati odgovarajuća osposobljavanja
- zaposlenicima omogućiti odgovarajuća osposobljavanja.
CISO, IT direktor ili vanjski pružatelj može provoditi operativne zadatke. Uprava time ne prenosi vlastitu zakonsku dužnost odobravanja i nadzora.
Što „odobriti mjere“ znači u praksi
Potpis na generičkoj politici nije dovoljan dokaz djelotvornog upravljanja. Upravljačko tijelo treba razumjeti:
- koje su kritične usluge i sustavi
- koja je kategorija i obvezujuća razina mjera
- koji su najveći preostali rizici
- koji rokovi i resursi nedostaju
- kako se prijavljuje značajan incident
- koji nalazi revizije ili samoprocjene nisu zatvoreni.
Odluke trebaju biti zabilježene, a izvješćivanje ponovljivo. Uredbina mjera 1.7 traži godišnje izvješćivanje odgovornih osoba o stanju kibernetičke sigurnosti na svim razinama mjera. Sigurnosne metrike iz mjere 1.8 dobrovoljne su na osnovnoj, a obvezne na srednjoj i naprednoj razini, pa subjekt treba slijediti razinu određenu u svojoj obavijesti.
Korektivne mjere dolaze prije najtežih posljedica
Nadležno tijelo, ovisno o rezultatima stručnog nadzora, može:
- izdati upozorenje
- dati obvezujuću uputu ili nalog
- naložiti prestanak protupravnog postupanja
- naložiti usklađenje mjera ili prijave u određenom roku
- naložiti provedbu preporuka revizije
- naložiti objavu aspekata povrede.
Za ključni subjekt može se imenovati i službenik za praćenje usklađenosti na određeno razdoblje.
Ako ključni subjekt ne postupi po korektivnim mjerama, nadležno tijelo može zatražiti od drugog nadležnog tijela:
- privremenu suspenziju ovlaštenja za obavljanje obuhvaćene usluge ili djelatnosti
- privremenu zabranu obavljanja upravljačkih dužnosti odgovornim fizičkim osobama.
Te mjere traju samo dok ključni subjekt ne postupi po korektivnim mjerama. Ne primjenjuju se na zakonom navedena tijela javne vlasti i javne naručitelje. Zato je netočno zabranu funkcije predstavljati kao neposrednu ili automatsku posljedicu svakog ozbiljnog incidenta.
Kako se određuje posljedica
Pri odluci o korektivnim mjerama Zakon traži razmatranje okolnosti konkretnog slučaja, među ostalim:
- ozbiljnosti i trajanja povrede
- ranijih povreda
- financijske, gospodarske i druge štete te broja pogođenih korisnika
- namjere ili nepažnje
- mjera za sprečavanje ili ublažavanje štete
- postupanja prema relevantnim pravilima ili certifikaciji
- razine suradnje odgovornih osoba s nadležnim tijelima.
Ozbiljnim se smatraju, primjerice, opetovane povrede, neprijavljivanje ili nerješavanje značajnih incidenata, neuklanjanje naloga, ometanje revizije i davanje lažnih ili izrazito netočnih informacija.
ISO/IEC 27001 certifikat može biti jedan podatak o sustavu upravljanja, ali nije automatska olakotna okolnost niti štiti od kazne ako stvarna provedba ne odgovara obvezama.
NIS2 i GDPR: bez automatskog zbrajanja maksimuma
Incident s osobnim podacima može zahtijevati paralelnu procjenu prema Zakonu o kibernetičkoj sigurnosti i GDPR-u. Ta dva režima imaju različite ciljeve, kriterije i prijavne tokove.
Ipak, nije točno svaki put zbrojiti maksimalnih 10 milijuna eura i maksimalnu GDPR kaznu. Članak 86. stavak 2. hrvatskog Zakona propisuje da se u stručnom nadzoru ne podnosi prekršajna prijava niti izdaje prekršajni nalog za povrede koje proizlaze iz istog postupanja ako je tijelo za zaštitu osobnih podataka za to postupanje već izreklo GDPR kaznu.
Različite radnje ili propusti i dalje mogu voditi različitim postupcima. Pravna procjena mora razdvojiti činjeničnu osnovu svake povrede.
Dokazi koje uprava treba redovito pregledavati
| Područje | Minimalni dokaz za upravljački nadzor |
|---|---|
| Opseg | Obavijest o kategorizaciji, sektor, kategorija i razina mjera |
| Rizici | Aktualna procjena, plan obrade i formalno prihvaćeni preostali rizici |
| Mjere | Vlasnik, status, tehnički i operativni dokaz te mjerilo djelotvornosti |
| Incidenti | Evidencija, vježbe, vrijeme saznanja i 24/72/30 procedura |
| Dobavljači | Popis kritičnih ovisnosti, procjene i ugovorne korektivne radnje |
| Oporavak | Rezultati stvarnih testova povrata i kontinuiteta |
| Provjere | Nalazi revizije ili samoprocjene i dokaz zatvaranja |
| Osposobljavanje | Sadržaj, datum, sudionici i provjera razumijevanja |
Jedna tromjesečna upravljačka ploča može objediniti stanje, ali ne smije sakriti prekoračene rokove iza ukupnog „postotka usklađenosti“.
Za pregled obveza uprave, odgovornosti i dokaza pogledajte NIS2 usklađenost.
Prvih šest odluka uprave
- Potvrditi kategoriju, razinu mjera, nadležno tijelo i sve rokove.
- Imenovati vlasnike i zamjene za upravljanje mjerama, podatke i incidente.
- Odobriti procjenu rizika i financiran plan zatvaranja prioritetnih praznina.
- Uvesti redovito izvješće s rizicima, incidentima, dobavljačima i korektivnim radnjama.
- Provesti osposobljavanje upravljačkog tijela usmjereno na konkretne odluke.
- Uvježbati značajan incident, uključujući regulatornu prijavu i komunikaciju.
Vanjska procjena može pomoći, ali izvješće bez odluke, vlasnika, roka i praćenja ne umanjuje upravljačku odgovornost.
Česta pitanja
Može li član uprave biti osobno novčano kažnjen?
Da. Hrvatski Zakon propisuje 1.000 do 6.000 eura za odgovorne fizičke osobe ključnog subjekta te 500 do 3.000 eura za odgovorne fizičke osobe važnog subjekta za relevantne prekršaje.
Je li zabrana obavljanja funkcije automatska?
Ne. Zakon je veže uz ključni subjekt koji ne postupi po korektivnim mjerama. Nadležno tijelo tada može zahtijevati od odgovarajućeg tijela privremenu zabranu, koja traje do postupanja po mjerama.
Može li uprava delegirati NIS2 na CISO-a?
Može delegirati operativne zadatke, ali članak 29. i dalje traži da odgovorne osobe odobravaju mjere, kontroliraju provedbu i osposobljavaju se.
Kažnjava li se svaka tvrtka nakon incidenta?
Ne. Incident nije automatski prekršaj. Utvrđuje se je li prekršena konkretna obveza i uzimaju se u obzir okolnosti slučaja.
Koliko često uprava mora na obuku?
Zakon traži odgovarajuća osposobljavanja, ali ne propisuje univerzalnu brojku „jednom godišnje“ za svaku situaciju. Učestalost treba odrediti prema promjenama rizika, propisa, uloga i rezultatima vježbi, uz dokumentiran trag.
Pokriva li D&O osiguranje kaznu?
To ovisi o polici, mjerodavnom pravu i vrsti troška. Ne treba pretpostaviti pokriće regulatorne ili prekršajne kazne; uvjete treba pisano provjeriti s osiguravateljem i pravnim savjetnikom.
Zbrajaju li se automatski NIS2 i GDPR maksimumi?
Ne. Potrebno je razlikovati povrede i uzeti u obzir hrvatsko pravilo protiv dvostrukog kažnjavanja za isto postupanje u okolnostima iz članka 86. Zakona.
Izvori i pregled
Pregledano 8. kolovoza 2026. Iznosi su preuzeti iz hrvatskih prekršajnih odredbi, a ne samo iz gornjih granica Direktive. Stvarna kazna ili korektivna mjera ovisi o činjeničnom stanju i postupku nadležnog tijela.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.