Upravljanje kibernetičkim incidentima: plan i obveze

U prvom satu kibernetičkog incidenta organizacija treba imenovati voditelja, otvoriti kronologiju, potvrditi siguran komunikacijski kanal, ograničiti neposrednu štetu i pokrenuti procjenu obavijesti. Plan odgovora vrijedi samo ako tim zna tko smije donositi odluke kada su činjenice nepotpune i kada primarni sustavi ne rade.

Ključne činjenice

• NIST SP 800-61 Rev. 3 iz 2025. zamijenio je Rev. 2 i integrira odgovor na incidente u svih šest funkcija CSF-a 2.0; stari četverofazni model ne treba predstavljati kao aktualni model Rev. 3.
• Događaj, incident i značajan incident nisu sinonimi. Regulirani rok pokreće se tek kada su ispunjeni primjenjivi status i prag, ali procjena mora početi odmah.
• Za značajan incident ključnog ili važnog subjekta hrvatska Uredba propisuje rano upozorenje do 24 sata, početnu obavijest do 72 sata i završno izvješće do 30 dana od početne obavijesti.
• GDPR-ov rok od 72 sata primjenjuje se kada je nastala povreda osobnih podataka i vjerojatan je rizik za prava i slobode pojedinaca; to je zasebna procjena od NIS2-a.
• Selektivna izolacija često je bolja od nekontroliranog gašenja. Odluka mora uzeti u obzir širenje, sigurnost ljudi, kontinuitet i očuvanje dokaza.

Događaj, incident i značajan incident

Sigurnosni događaj opažena je promjena ili aktivnost: neuspjela prijava, alarm alata, neuobičajen mrežni tok ili prijava korisnika. Događaj može biti bezazlen, lažno pozitivan ili prvi znak problema.

Kibernetički incident događaj je ili niz događaja koji ugrožava dostupnost, autentičnost, cjelovitost ili povjerljivost podataka i sustava, odnosno uslugu koja o njima ovisi. Incident može zahtijevati tehnički, poslovni, pravni i komunikacijski odgovor.

Značajan incident uži je regulatorni pojam. Prema hrvatskom Zakonu o kibernetičkoj sigurnosti, za ključne i važne subjekte relevantan je incident koji je uzrokovao ili može uzrokovati ozbiljan poremećaj ili financijski gubitak, odnosno znatnu materijalnu ili nematerijalnu štetu drugim osobama. Uredba daje detaljnije i sektorske kriterije.

Klasifikacija se može promijeniti kada stignu nove činjenice. Zbog toga incidentni zapis treba sadržavati vrijeme prvog saznanja, odluke, dostupne dokaze i obrazloženje procjene značajnosti.

Aktualni NIST model odgovora

NIST SP 800-61 Rev. 3 tretira odgovor kao dio upravljanja kibernetičkim rizikom kroz šest funkcija NIST CSF-a 2.0:

• Govern, Identify i Protect pomažu spriječiti dio incidenata, pripremiti organizaciju, ograničiti mogući učinak i poboljšati praksu na temelju naučenog;
• Detect, Respond i Recover pomažu otkriti, upravljati, prioritizirati, obuzdati i ukloniti incident, obnoviti rad te provesti izvještavanje i komunikaciju.

Funkcije nisu strogo linearni koraci. Tijekom oporavka može se otkriti nova kompromitacija i tim se vraća na analizu i obuzdavanje. Upravljanje, komunikacija i poboljšanje protežu se kroz cijeli životni ciklus.

Za operativni plan organizacija može koristiti vlastiti slijed radnih aktivnosti, primjerice priprema → otkrivanje i trijaža → obuzdavanje i uklanjanje → oporavak → naučene lekcije, pod uvjetom da ga ne zamijeni za propisani univerzalni model i da su povratne petlje jasne.

Priprema prije incidenta

Uloge i ovlasti

Jedna osoba može imati više uloga u manjoj tvrtki, ali ovlasti i zamjene moraju biti jasne. Popis treba uključiti dobavljače za cloud, mrežu, forenziku, pravnu pomoć, osiguranje i komunikacije, s kontaktima dostupnima i izvan kompromitirane e-pošte.

Preduvjeti koji odlučuju brzinu

• ažuran inventar kritičnih usluga, podataka, identiteta i ovisnosti;
• centralizirani i vremenski usklađeni zapisi s odgovarajućim rokom čuvanja;
• rezervni komunikacijski kanal i izvanmrežna kopija plana;
• unaprijed odobrene ovlasti za izolaciju uređaja, opoziv računa i hitnu nabavu;
• sigurnosne kopije i poznato izvediv postupak obnove;
• predlošci za rano upozorenje, početnu obavijest, GDPR procjenu i komunikaciju korisnicima;
• pravila za čuvanje dokaza i uključivanje policije;
• redovite tehničke i upravljačke vježbe.

Otkrivanje, trijaža i ozbiljnost

Trijaža treba brzo odgovoriti na četiri pitanja: što se dogodilo, traje li još, što je pogođeno i kakav je mogući učinak. Ne čekajte potpunu atribuciju napadača.

Procjenu ozbiljnosti temeljite na:

• važnosti i vremenskoj osjetljivosti pogođene usluge;
• ugroženosti dostupnosti, cjelovitosti, povjerljivosti i autentičnosti;
• širini kompromitiranih identiteta, sustava, lokacija i dobavljača;
• mogućem učinku na sigurnost ljudi, okoliš i fizičke procese;
• vrsti i osjetljivosti osobnih ili drugih reguliranih podataka;
• trajanju, dokazima širenja i sposobnosti internog obuzdavanja;
• prekograničnom, međusektorskom, financijskom i reputacijskom učinku.

Oznake poput SEV-1 ili P1 interne su. Njihove kriterije treba napisati tako da dvije osobe na temelju istih činjenica pokrenu sličnu eskalaciju. Visoka tehnička ocjena alarma ne mora značiti velik poslovni incident, a naizgled jednostavna krađa računa može ugroziti cijelu organizaciju.

Kontrolna lista za prvi sat

1. Potvrdite primitak i otvorite predmet. Dodijelite identifikator, zapišite vrijeme, izvor i poznate činjenice.
2. Imenujte voditelja i zapisničara. Uspostavite ritam kratkih ažuriranja i jedno mjesto istine.
3. Provjerite komunikacijski kanal. Ako je identitet ili e-pošta možda kompromitirana, prijeđite na rezervni kanal.
4. Procijenite sigurnost ljudi i kritične operacije. One imaju prednost pred očuvanjem IT sustava.
5. Ograničite neposrednu štetu. Selektivno izolirajte uređaj, račun, token, segment ili integraciju prema scenariju i zabilježite radnju.
6. Zaštitite dokaze i zapise. Spriječite njihovu rotaciju ili izmjenu i uključite osposobljenu osobu za volatilne podatke.
7. Odredite početni opseg. Pogođeni sustavi, podaci, korisnici, dobavljači, lokacije i usluge.
8. Pokrenite regulatorni i ugovorni pregled. Zabilježite vrijeme saznanja i ne čekajte završetak forenzike.
9. Odredite sljedeću odluku i rok. Primjerice proširenje izolacije, aktiviranje kontinuiteta ili rano upozorenje CSIRT-u.

Ova lista nije zamjena za scenarijske upute. Ransomware, DDoS, kompromitirana e-pošta i curenje podataka zahtijevaju različite tehničke radnje.

Obuzdavanje, uklanjanje i oporavak

Obuzdavanje

Cilj je zaustaviti daljnju štetu uz prihvatljiv poslovni učinak. Moguće radnje su opoziv sesije ili ključa, izolacija uređaja, blokiranje zlonamjernog odredišta, privremeno gašenje funkcije, preusmjeravanje prometa ili odvajanje dobavljačke veze.

Potpuno gašenje nije zadana radnja. Može prekinuti kritičnu uslugu, izgubiti memorijske dokaze ili aktivirati neželjeno ponašanje zlonamjernog koda. S druge strane, aktivno destruktivno širenje može zahtijevati neposrednu intervenciju. Plan treba unaprijed odrediti tko donosi tu odluku.

Uklanjanje

Uklonite temeljni pristup, ne samo vidljiv simptom. To može uključiti zatvaranje ranjivosti, ponovnu izgradnju sustava, uklanjanje trajnih mehanizama, rotaciju vjerodajnica i ključeva te provjeru povezanih identiteta i integracija. Redoslijed je važan: promjena lozinke nema učinka ako napadač i dalje kontrolira oporavak računa ili izdaje nove tokene.

Oporavak

Vraćajte poznato čiste sustave prema prioritetima poslovanja. Definirajte kriterije povratka u produkciju, funkcionalnu i sigurnosnu provjeru, pojačani nadzor i način povratka ako se problem ponovi. Obnova usluge ne dokazuje da je incident završen.

Očuvanje dokaza

Vodite kronologiju s vremenskom zonom, izvorom informacije i osobom koja je poduzela radnju. Sačuvajte relevantne zapise, izvornu e-poštu sa zaglavljima, konfiguracije, snimke, uzorke i odluke. Za forenzičke kopije dokumentirajte tko ih je prikupio, kada, kojim alatom, gdje se čuvaju i tko im je pristupao; kriptografski sažetak može pomoći dokazati cjelovitost.

Nemojte obećavati „forenzičku ispravnost” bez odgovarajuće stručnosti. Ako je vjerojatan kazneni, radnopravni ili sudski postupak, rano uključite pravne i forenzičke stručnjake te policiju prema procjeni.

NIS2 i hrvatski rokovi prijave

Članak 23. NIS2-a uspostavlja višefazno izvještavanje o značajnim incidentima za ključne i važne subjekte. Hrvatski Zakon i Uredba operacionaliziraju obvezu prema nadležnom CSIRT-u:

Za incident koji traje dulje od 60 dana Uredba predviđa izvješća o napretku svakih 30 dana, a završno izvješće najkasnije 30 dana od posljednjeg izvješća o napretku. Za pružatelje usluga povjerenja postoji posebna 24-satna iznimka za početnu obavijest.

Uredba također propisuje da ključni i važni subjekti bez odgode, najkasnije 72 sata od saznanja, obavijeste primatelje usluga na koje bi značajan incident mogao utjecati. Konkretan sadržaj i sektorske upute treba provjeriti s nadležnim CSIRT-om.

Rokovi se ne primjenjuju na svaki alarm i nisu opći rok za sve hrvatske tvrtke. Najprije utvrdite je li organizacija kategorizirana kao ključni ili važni subjekt, koji je CSIRT nadležan i ispunjava li incident kriterije značajnosti. PiXi je nacionalna platforma za zakonsko izvještavanje ovlaštenih subjekata; opće i sektorske smjernice određuju postupak.

GDPR, policija, CERT.hr i ugovori

Povreda osobnih podataka

Ako incident uzrokuje slučajno ili nezakonito uništenje, gubitak, izmjenu, neovlašteno otkrivanje ili pristup osobnim podacima, voditelj obrade procjenjuje rizik. AZOP se izvješćuje bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata od saznanja kada je vjerojatan rizik za prava i slobode pojedinaca. Informacije se mogu dostavljati u fazama ako nisu sve odmah dostupne. Visok rizik može zahtijevati obavijest ispitanicima bez nepotrebnog odgađanja.

Izvršitelj obrade nema isti odnos prema AZOP-u kao voditelj: on voditelja obavještava bez nepotrebnog odgađanja. Ugovor treba omogućiti da voditelj ispuni vlastiti rok.

Tehnička i kaznena prijava

Nacionalni CERT koordinira incidente u svojoj objavljenoj nadležnosti i traži tehničke podatke poput izvornih zapisa, vremena, adresa i cijelih zaglavlja e-pošte. Državna tijela i određeni javni subjekti mogu biti u drugoj CSIRT nadležnosti, a kategorizirani subjekt slijedi svoj propisani kanal. Sumnju na kazneno djelo prijavljuje se policiji prema primjenjivim uputama.

Ugovorne i sektorske obveze

Cloud, osiguranje, platni sustavi, poslovni partneri i drugi ugovori mogu imati kraće rokove ili zahtijevati prethodnu suglasnost za forenzičkog pružatelja. Vodite registar obveza kako ga tim ne bi tražio tijekom krize.

Za izradu plana, matrice prijava i tabletop vježbu pogledajte uslugu odgovora na incidente.

Komunikacija bez nagađanja

Svako ažuriranje treba jasno odvojiti:

• potvrđene činjenice i njihov izvor;
• radne hipoteze koje se još provjeravaju;
• nepoznanice i vlasnika sljedeće provjere;
• poduzete mjere i očekivani učinak;
• sljedeće vrijeme ažuriranja.

Ne pripisujte napad određenom akteru bez pouzdanih dokaza. Ne obećavajte da „podaci nisu ukradeni” samo zato što eksfiltracija još nije potvrđena. Pogođenim osobama dajte radnje koje stvarno mogu smanjiti rizik.

Vježbe i mjerenje spremnosti

Tabletop vježba provjerava odluke, ovlasti i komunikaciju; tehnička simulacija provjerava detekciju i rad alata; test obnove provjerava može li se usluga vratiti. Jedna vrsta ne zamjenjuje druge.

Mjerite vrijeme do trijaže, imenovanja voditelja, obuzdavanja i obnove, ali i kvalitetu: potpunost kronologije, broj nedostupnih kontakata, nejasne ovlasti, uspjeh obnove, pravodobnost regulatorne procjene i zatvaranje korektivnih radnji. Brzo zatvoren incident s neriješenim temeljnim uzrokom nije uspjeh.

Česta pitanja

Mora li mala tvrtka imati plan?+

Svaka tvrtka trebala bi održavati plan razmjeran svojim rizicima. Zakonska obveza formalnog plana nije univerzalna za svaku malu tvrtku: ovisi o kategorizaciji tvrtke kao ključnog ili važnog subjekta, sektorskim pravilima, ulozi voditelja obrade ili izvršitelja obrade te drugim primjenjivim zakonskim i ugovornim obvezama.

I kada poseban propis izričito ne zahtijeva formalni dokument, kratak operativni plan treba odrediti uloge, zamjene, kontakte, prve radnje i prioritete oporavka. Vanjski pružatelj ne uklanja potrebu da netko unutar tvrtke donosi poslovne odluke.

Kada počinje rok za prijavu?+

Od trenutka saznanja za povredu ili značajan incident prema primjenjivom propisu, a ne nužno od prvog zlonamjernog događaja. Točan trenutak može zahtijevati pravnu i činjeničnu procjenu, pa ga dokumentirajte i ne odgađajte eskalaciju dok čekate potpunu forenziku.

Smijemo li ponovno uključiti sustav čim radi?+

Tek kada su ispunjeni kriteriji povratka: poznato čist izvor, uklonjen ili kontroliran početni vektor, valjane vjerodajnice, funkcionalna provjera, sigurnosni nadzor i mogućnost povratka na prethodno stanje.

Tko smije komunicirati s napadačem?+

Samo unaprijed ovlaštena osoba ili specijalizirani pružatelj uz upravljački i pravni nadzor. Neformalni kontakt može otkriti podatke, omesti istragu ili stvoriti pravni i sankcijski rizik.

Povezani vodiči

• Ransomware: zaštita tvrtke i postupanje
• Kibernetički napadi: vrste i zaštita
• Phishing napadi i edukacija zaposlenika

Izvori i pregled

Sadržaj je stručno pregledan 8. kolovoza 2026. prema sljedećim primarnim i službenim izvorima:

• NIST SP 800-61 Rev. 3 — Incident Response Recommendations and Considerations for Cybersecurity Risk Management
• Direktiva (EU) 2022/2555 — članak 23.
• Zakon o kibernetičkoj sigurnosti, NN 14/2024
• Uredba o kibernetičkoj sigurnosti, NN 135/2024 — članci 64. – 85.
• Nacionalni CERT — opće smjernice za obavještavanje o značajnim incidentima
• AZOP — izvješćivanje o povredi osobnih podataka

Ovaj vodič daje opći operativni okvir. Nadležnost, prag značajnosti, sektorska pravila i obavijesti procjenjuju se za konkretan subjekt i incident.