Upravljanje kibernetičkim incidentima: Plan, postupak i obveze u Hrvatskoj
2. prosinca 2025.
Ažurirano: 22. veljače 2026.
20 min čitanja
Kibernetička sigurnost
Kibernetički incident može pogoditi bilo koju organizaciju — od multinacionalne korporacije do male hrvatske tvrtke. Razlika između katastrofe i kontrolirane situacije leži u pripremljenosti. Organizacije s jasnim planom odgovora oporave se brže, s manjom štetom i nižim troškovima. Ovaj vodič objašnjava kako pripremiti plan, kako reagirati na incident i kako ispuniti zakonske obveze prema NIS2 i GDPR-u.
Sažetak i ključne točke
NIS2 zahtijeva prijavu incidenta u 24 sata (rano upozorenje) i 72 sata (detaljna obavijest).
GDPR zahtijeva prijavu povrede podataka AZOP-u u 72 sata.
Organizacije s planom odgovora smanjuju troškove incidenta za 60 % (IBM, 2025.).
NIST SP 800-61 definira 4 faze upravljanja incidentom: priprema, otkrivanje i analiza, zaustavljanje/uklanjanje/oporavak, aktivnosti nakon incidenta.
Svaka organizacija treba tim za odgovor (IRT/CSIRT) — makar i neformalni.
Dokumentacija incidenta obvezna je i prema NIS2 i prema GDPR-u.
Što prijava AZOP-u mora sadržavati (čl. 33. GDPR-a)
Element
Opis
Priroda povrede
Vrsta incidenta, kategorije i broj pogođenih osoba/zapisa
Kontakt DPO-a
Ime i kontakt službenika za zaštitu podataka
Moguće posljedice
Procjena utjecaja na ispitanike
Poduzete mjere
Mjere za ublažavanje i sprečavanje daljnje štete
NIS2 + GDPR: Ako incident uključuje i povredu podataka i poremećaj usluge, obje prijave su potrebne — CERT-u i AZOP-u, u različitim rokovima. Više: GDPR vodič za Hrvatsku.
Zaustavljanje i uklanjanje
Strategije zaustavljanja
Strategija
Kada koristiti
Primjer
Izolacija na razini mreže
Ransomware, lateralno kretanje
Odspojiti pogođeni segment od mreže
Izolacija na razini uređaja
Malware na jednom uređaju
Isključiti računalo iz mreže (ali ne gasiti)
Blokiranje računa
Kompromitacija korisničkih podataka
Onemogućiti pogođene korisničke račune
DNS sinkholing
C2 komunikacija
Preusmjeriti promet prema C2 na siguran poslužitelj
Blokiranje IP adresa
Poznati napadačevi IP-jevi
Ažurirati vatrozid
Očuvanje dokaza
Aktivnost
Zašto je važno
Ne gasiti sustave
Sadržaj memorije (RAM) važan je za forenziku
Snimiti memoriju
Alati: FTK Imager, Volatility
Kopirati logove
Sačuvati logove prije rotacije ili brisanja
Dokumentirati sve
Tko je što učinio, kada, s kojim rezultatom
Održavati lanac čuvanja
Dokazi moraju biti neizmijenjeni za pravni postupak
Uklanjanje prijetnje
Identificirati sve kompromitiranje sustave (ne samo prvi otkriveni)
Ukloniti malware, backdoor i alate napadača
Promijeniti sve pristupne podatke (lozinke, ključevi, tokeni)
Zakrpati ranjivosti koje je napadač iskoristio
Provjeriti integritet sustava i podataka
Oporavak i naučene lekcije
Oporavak
Korak
Aktivnost
1
Oporavak sustava iz čistih sigurnosnih kopija
2
Provjera integriteta obnovljenih podataka
3
Postupno vraćanje — počnite s najkritičnijim sustavima
4
Pojačano praćenje — napadač može pokušati ponovo
5
Testiranje — provjerite da sustavi rade ispravno
6
Obavijest korisnicima i partnerima o ponovnoj dostupnosti
Naučene lekcije (Post-Incident Review)
Pitanje
Svrha
Što se točno dogodilo?
Razumijevanje uzroka
Kada je otkriveno i koliko je trajalo?
Procjena vremena reakcije
Jesu li postojeće mjere funkcionirale?
Evaluacija zaštite
Što je funkcioniralo u odgovoru?
Identificiranje dobrih praksi
Što nije funkcioniralo?
Identificiranje slabosti
Koje su konkretne mjere poboljšanja?
Sprečavanje ponavljanja
Naučene lekcije su najvažniji dio upravljanja incidentom — incident koji se ne analizira ponovit će se.
Plan odgovora
Elementi plana odgovora na incidente (IRP)
Element
Opis
Opseg i svrha
Koje vrste incidenata pokriva, ciljevi
Tim za odgovor
Uloge, odgovornosti, kontakti (interni + vanjski)
Klasifikacija incidenata
Kriteriji za razine ozbiljnosti
Postupci otkrivanja
Kako prepoznati incident, tko može prijaviti
Postupci zaustavljanja
Korak po korak za svaku vrstu incidenta
Komunikacijski plan
Tko komunicira s kime (CERT, AZOP, mediji, klijenti)
Postupci oporavka
Kako obnoviti sustave i nastaviti poslovanje
Rokovi prijave
NIS2 (24/72h), GDPR (72h), interni rokovi
Kontakti
Ažurirani kontakti svih relevantnih osoba i tijela
Vježbe i testiranje
Redovite vježbe za provjeru plana
Kontrolna lista za prvi sat
#
Aktivnost
Odgovorna osoba
1
Potvrda incidenta
IT/sigurnost
2
Klasifikacija i prioritizacija
Voditelj IRT-a
3
Aktivacija IRT-a
Voditelj IRT-a
4
Izolacija pogođenih sustava
IT tim
5
Početak dokumentacije
Svi sudionici
6
Obavijest upravi
Voditelj IRT-a
7
Procjena utjecaja na podatke (DPO)
DPO
8
Kontakt vanjskih stručnjaka (po potrebi)
Voditelj IRT-a
Redovite vježbe
Vrsta vježbe
Učestalost
Sudionici
Tabletop vježba
Kvartalno
IRT + uprava
Simulacija incidenta
Polugodišnje
IRT + IT tim
Potpuna vježba oporavka
Godišnje
Cijela organizacija
Testiranje sigurnosnih kopija
Mjesečno
IT tim
Najčešće pogreške
1. Nema plana — reagira se ad hoc
Bez plana svaki incident postaje kriza. Plan osigurava strukturiran i brz odgovor.
2. Plan postoji, ali ga nitko ne poznaje
Plan koji leži u ladici ne vrijedi. Zaposlenici moraju znati svoju ulogu i postupke.
3. Gašenje računala umjesto izolacije
Gašenje uništava dokaze u memoriji. Odspojite iz mreže, ali ne gasiti.
4. Propuštanje rokova prijave
24 sata za NIS2, 72 sata za GDPR — propuštanje rokova povećava kaznu.
5. Nedokumentiranje incidenta
Bez dokumentacije ne možete dokazati usklađenost ni naučiti za budućnost.
6. Fokus samo na tehničko rješavanje
Incident zahtijeva i pravni, komunikacijski i poslovni odgovor — ne samo IT.
7. Nema naučenih lekcija
Incident koji se ne analizira ponovit će se. Post-incident review je obvezan korak.
FAQ
Trebam li plan odgovora ako sam mala tvrtka?
Da. Čak i jednostavan dokument od 2–3 stranice s kontaktima, postupcima i rokovima prijave može značajno smanjiti kaos u slučaju incidenta.
Tko u tvrtki treba znati za plan?
Svi relevantni zaposlenici — IT tim, uprava, DPO, komunikacije. Ne moraju svi znati sve detalje, ali moraju znati svoju ulogu i koga kontaktirati.
Koliko košta upravljanje incidentom?
Ovisi o vrsti i opsegu. Za manje incidente: 5.000–20.000 EUR (IT rad, forenzika). Za ransomware: 50.000–500.000+ EUR (zastoj, oporavak, forenzika, pravni savjeti, kazne). Plan odgovora drastično smanjuje ove troškove.
Moram li prijaviti svaki incident CERT-u?
Prema NIS2, organizacije moraju prijaviti značajne incidente. U praksi, bolje je prijaviti i pitati nego propustiti rok. CERT.hr savjetodavno pomaže i u slučajevima koji ne zahtijevaju formalnu prijavu.
Što ako ne znam je li incident značajan?
Kad ste u nedoumici — prijavite. I NIS2 i GDPR predviđaju preliminarnu prijavu koju možete naknadno ažurirati. Propuštanje roka je veći rizik od nepotrebne prijave.
Zaključak
Upravljanje kibernetičkim incidentima nije luxuz za velike korporacije — to je nužnost za svaku organizaciju u digitalnom okruženju. S NIS2 i GDPR obvezama, plan odgovora na incidente više nije neobvezan — on je regulatorni zahtjev.
Ključne poruke: (1) Pripremite se prije incidenta — plan, tim, kontakti, vježbe. (2) Otkrijte brzo — SIEM, EDR, obuka zaposlenika. (3) Prijavite na vrijeme — 24h CERT, 72h AZOP. (4) Dokumentirajte sve — od početka do kraja. (5) Naučite iz svakog incidenta — poboljšajte zaštitu i plan.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.
