Upravljanje kibernetičkim incidentima: plan i obveze

Sadržaj vodiča

Ukratko
Događaj, incident i značajan incident
Kada je incident značajan
Plan odgovora na incident
Faze odgovora na incident
Otkrivanje i procjena ozbiljnosti
Kontrolna lista za prvi sat
Ograničavanje, uklanjanje i oporavak
Očuvanje dokaza
Obveze prijave
Komunikacija tijekom incidenta
Vježbe i mjerenje spremnosti
Najčešće pogreške
Česta pitanja
Sljedeći korak
Izvori i pregled

Upravljanje kibernetičkim incidentima je unaprijed dogovoren postupak kojim organizacija otkriva incident, ograničava štetu, uklanja uzrok, oporavlja sustave i ispunjava obveze prijave. Plan odgovora na incident određuje tko odlučuje, kojim redom se postupa i koga treba obavijestiti u kojem roku. Bez plana odluke se donose pod pritiskom, a rokovi od 4, 24 i 72 sata prolaze dok se traži tko je nadležan.

Ključni i važni subjekti prema Zakonu o kibernetičkoj sigurnosti moraju imati postupke za upravljanje incidentima i prijavljivati značajne incidente. Financijski subjekti imaju dodatne rokove prema DORA-i, a svaka organizacija koja obrađuje osobne podatke obveze prema GDPR-u. Vodič prikazuje stanje na 4. studenoga 2026.

Ukratko

NIS2 subjekti značajan incident prijavljuju nadležnom CSIRT-u: rano upozorenje u 24 sata, početna obavijest u 72 sata, završno izvješće u 30 dana od početne obavijesti (Uredba o kibernetičkoj sigurnosti, čl. 66., 67. i 70.).
Značajan incident određuju pragovi iz Uredbe: primjerice nedostupnost usluge za najmanje 20 % korisnika u trajanju od sat vremena ili financijski gubitak od 100.000 eura ili 5 % godišnjeg prihoda (čl. 59. i 60.).
Financijski subjekti prema DORA-i šalju početnu obavijest u 4 sata od klasifikacije incidenta kao značajnog, a najkasnije u 24 sata od otkrivanja (Delegirana uredba (EU) 2025/301).
Povreda osobnih podataka prijavljuje se AZOP-u u 72 sata od saznanja, osim ako nije vjerojatno da će prouzročiti rizik za pojedince (čl. 33. GDPR-a).
Sumnja na kazneno djelo prijavljuje se i policiji, a NIS2 subjekti obavijest dostavljaju tijelima kaznenog progona (čl. 37. st. 3. Zakona).
NCSC-HR je u trećem tromjesečju 2026. zaprimio 125 prijava incidenata od NIS2 subjekata, od čega 23 značajna. Većina prijava odnosila se na ispade usluga zbog tehničkog kvara, phishing i prijevare. Od sedam ransomware napada šest je spriječeno prije nego što je napadač zaključao infrastrukturu.

Događaj, incident i značajan incident

Pojam	Značenje	Primjer
Sigurnosni događaj	Svaka zabilježena pojava u sustavu ili mreži	Neuspjela prijava, upozorenje antivirusnog programa
Incident	Događaj koji ugrožava dostupnost, cjelovitost, povjerljivost ili autentičnost podataka ili usluga	Zaraženo računalo, kompromitiran korisnički račun, ispad usluge
Značajan incident	Incident koji ispunjava kriterije iz Uredbe o kibernetičkoj sigurnosti i prijavljuje se CSIRT-u	Ransomware koji zaustavi poslovanje, curenje podataka klijenata
Povreda osobnih podataka	Incident koji uzrokuje gubitak, izmjenu, neovlašteno otkrivanje ili pristup osobnim podacima	E-pošta s podacima poslana pogrešnom primatelju, ukradena baza kupaca

Jedan incident može biti istodobno značajan incident prema NIS2, značajan IKT incident prema DORA-i i povreda osobnih podataka prema GDPR-u. Svaku obvezu treba procijeniti zasebno.

Kada je incident značajan

Uredba o kibernetičkoj sigurnosti (čl. 58. do 63.) propisuje kriterije. Incident je značajan ako ispunjava barem jedan:

Kriterij	Pragovi
Ozbiljan poremećaj usluge (čl. 59.)	Najmanje 20 % korisnika ne može pristupiti usluzi najmanje sat vremena; najmanje 1 % korisnika, ali najmanje 100, ne može pristupiti osam sati; usluga nije dostupna sat vremena, a broj pogođenih se ne može utvrditi; najmanje 30 % korisnika povremeno ne može koristiti uslugu ukupno sat vremena u razdoblju od četiri sata
Posebne usluge (čl. 59.)	Najmanje sat vremena nedostupnosti usluge u bolnici, zračnoj luci, kod zračnog prijevoznika, u objektu banke s podatkovnim centrima, policije, aktivnog vodocrpilišta, operatora elektroničkih komunikacija, sigurnosno-obavještajnog sustava, profesionalne vatrogasne postrojbe ili kritičnog subjekta; usluge za potrebe obrane; usluge na području županije, velikog grada ili grada sjedišta županije. Nedostupnost kontrole zračnog prometa, Centra 112 i drugih hitnih službi bez obzira na trajanje
Autentičnost, cjelovitost ili povjerljivost (čl. 59.)	Neovlaštena osoba pristupila je kritičnim sustavima ili podacima ili ih je mogla konfigurirati; konfiguracija ili kritični podaci neovlašteno su mijenjani ili uklonjeni; ovlaštena osoba ne može upravljati kritičnim sustavom; kritični sustavi rade izvan uobičajenih postupaka
Financijski gubitak (čl. 60.)	Gubitak prihoda i troškovi od 100.000 eura ili 5 % godišnjeg poslovnog prihoda, ovisno o tome što je niže; sat vremena nedostupnosti za klijente koji su prethodne godine donijeli prihod u tom iznosu; reputacijska šteta
Šteta za druge (čl. 61.)	Smrt ili ozljeda, uništenje imovine, obustava poslovanja drugih osoba, gubitak ili kompromitacija njihovih osobnih ili osjetljivih podataka
Ponavljanje (čl. 62.)	Dva ili više incidenata u šest mjeseci s istim uzrokom koji zajedno ispunjavaju neki kriterij

Ako subjekt nije utvrdio koji su mu sustavi i podaci kritični, za ovaj kriterij svi se smatraju kritičnima (čl. 59. st. 4.). Klasifikacija sustava zato izravno utječe na to koliko će incidenata morati prijaviti. Planirano redovito održavanje nije značajan incident (čl. 63.). Za financijske subjekte kriterije značajnog IKT incidenta određuje DORA i njezine delegirane uredbe.

Plan odgovora na incident

Plan treba biti kratak, dostupan izvan glavnih sustava i poznat ljudima koji ga provode. Minimalni sadržaj:

Opseg i definicije: što je incident, tko ga smije proglasiti, kako se procjenjuje ozbiljnost.
Uloge i zamjene: voditelj incidenta, tehnički tim, pravna služba, službenik za zaštitu podataka, komunikacije, uprava. Za svaku ulogu zamjena.
Kontakti: interni, CSIRT, AZOP, policija, ključni dobavljači, osiguratelj, vanjski stručnjaci za forenziku, s telefonima izvan sustava tvrtke.
Rezervni kanal komunikacije: ako e-pošta i interni chat ne rade ili su kompromitirani.
Postupci po scenarijima: ransomware, kompromitirana e-pošta i prijevara s plaćanjem, curenje podataka, DDoS, napad preko dobavljača.
Kriteriji prijave: NIS2, DORA, GDPR, sektorski propisi, ugovori s klijentima.
Dokazi: što se čuva, tko smije dirati sustave, kako se vodi kronologija.
Oporavak: redoslijed vraćanja sustava prema poslovnom prioritetu.
Nakon incidenta: analiza uzroka, korektivne mjere s rokovima, ažuriranje plana.

Tim za odgovor na incidente

Uloga	Zadaci
Voditelj incidenta	Koordinira, donosi operativne odluke, vodi kronologiju
Tehnički tim	Analiza, ograničavanje širenja, uklanjanje uzroka, oporavak
Uprava	Poslovne odluke: gašenje usluga, troškovi, komunikacija, pregovori
Pravna služba i DPO	Procjena obveza prijave, GDPR, ugovori, policija
Komunikacije	Poruke zaposlenicima, klijentima, medijima i regulatorima
Vanjski partneri	Forenzika, pružatelj usluga u oblaku, osiguratelj, odvjetnik

U manjoj organizaciji jedna osoba ima više uloga. Tada je važno unaprijed ugovoriti vanjsku pomoć i znati tko donosi odluku kada direktor nije dostupan.

Faze odgovora na incident

NIST je u travnju 2025. objavio reviziju 3 smjernica SP 800-61, koje odgovor na incident povezuju sa šest funkcija okvira NIST CSF 2.0: upravljanje, prepoznavanje, zaštita, otkrivanje, odgovor i oporavak. U praksi odgovor prolazi ove faze:

Faza	Što se radi
Priprema	Plan, uloge, kontakti, alati, sigurnosne kopije, vježbe
Otkrivanje i analiza	Prepoznavanje incidenta, procjena opsega i ozbiljnosti, odluka o prijavi
Ograničavanje	Zaustavljanje širenja: izolacija uređaja, blokada računa, promjena pravila vatrozida
Uklanjanje	Uklanjanje zlonamjernog softvera, zatvaranje ulaza, promjena lozinki i ključeva
Oporavak	Vraćanje sustava iz čistih kopija, pojačano praćenje
Naučene lekcije	Analiza uzroka, korektivne mjere, ažuriranje plana i kontrola

Otkrivanje i procjena ozbiljnosti

Incident se otkriva preko upozorenja sigurnosnih alata, prijava zaposlenika, obavijesti dobavljača, CERT-a ili klijenata, a ponekad tek kada napadač pošalje poruku. Česti pokazatelji kompromitacije:

prijave s neuobičajenih lokacija ili u neuobičajeno vrijeme;
nova pravila prosljeđivanja u e-pošti;
isključeni sigurnosni alati ili izbrisane sigurnosne kopije;
nagli rast mrežnog prometa prema nepoznatim adresama;
masovne izmjene ili šifriranje datoteka;
novi administratorski računi.

Procjena ozbiljnosti odgovara na tri pitanja: koje su usluge i podaci pogođeni, širi li se incident i ispunjava li kriterije za prijavu. Za svaku procjenu zabilježite vrijeme i podatke na kojima se temelji, jer se rokovi prijave računaju od saznanja.

Kontrolna lista za prvi sat

Proglasite incident i imenujte voditelja.
Otvorite kronologiju: vrijeme saznanja, izvor, prve činjenice.
Prijeđite na siguran komunikacijski kanal ako postoji sumnja na kompromitaciju e-pošte.
Izolirajte pogođene uređaje od mreže, ali ih ne gasite bez plana.
Blokirajte kompromitirane račune i opozovite aktivne sesije.
Zaštitite sigurnosne kopije: odvojite ih od mreže ako još nisu odvojene.
Sačuvajte dnevničke zapise prije nego što se prepišu.
Pokrenite procjenu obveza prijave: NIS2 (24 sata), DORA (4 sata od klasifikacije), GDPR (72 sata).
Obavijestite upravu i odlučite o vanjskoj pomoći.
Ne komunicirajte s napadačem bez odluke uprave i savjeta stručnjaka.

Ograničavanje, uklanjanje i oporavak

Ograničavanje zaustavlja širenje: izolacija uređaja ili segmenta mreže, blokada računa, onemogućavanje udaljenog pristupa, privremeno gašenje izložene usluge. Gašenje svih sustava odjednom može uništiti dokaze u radnoj memoriji i zaustaviti poslovanje više nego što je potrebno.

Uklanjanje zatvara ulaz napadača i uklanja njegove alate: zakrpa ranjivosti, promjena lozinki i ključeva, uklanjanje zlonamjernog softvera i trajnih pristupa, provjera svih administratorskih računa. Uzrok treba ukloniti, a ne samo simptom.

Oporavak vraća sustave iz provjereno čistih sigurnosnih kopija prema poslovnom prioritetu. Prije vraćanja kopije treba provjeriti da nije zaražena. Sustavi se nakon oporavka pojačano prate nekoliko tjedana.

Očuvanje dokaza

Dokazi su potrebni za utvrđivanje uzroka, prijave regulatorima, policiju, osiguratelja i eventualni sudski postupak:

dnevnički zapisi sustava, mreže, vatrozida, e-pošte i usluga u oblaku;
slike diska i radne memorije pogođenih uređaja, kada je moguće;
izvorne poruke s punim zaglavljima;
poruke napadača i zahtjevi za otkupninu;
kronologija svih radnji tima, s vremenom i osobom.

Dokaze prikuplja osoba koja zna kako ih sačuvati bez izmjene, uz zapis tko im je pristupio.

Obveze prijave

Propis	Tko	Kome	Rok	Sadržaj
Zakon i Uredba o kibernetičkoj sigurnosti	Ključni i važni subjekti	Nadležni CSIRT (NCSC-HR ili Nacionalni CERT), platforma PiXi	Rano upozorenje 24 sata, početna obavijest 72 sata, završno izvješće 30 dana od početne obavijesti	Vrijeme saznanja, opis, sumnja na zlonamjerno djelovanje, prekogranični učinak; zatim procjena ozbiljnosti, indikatori kompromitacije, uzrok i mjere
DORA, Delegirana uredba (EU) 2025/301	Banke, osiguratelji, investicijska društva i drugi financijski subjekti	HNB, HANFA ili drugo nadležno tijelo	Početna obavijest 4 sata od klasifikacije kao značajnog, najkasnije 24 sata od otkrivanja; prijelazno izvješće 72 sata od početne; završno izvješće mjesec dana od prijelaznog	Prema obrascima iz provedbenih propisa DORA-e
GDPR, čl. 33. i 34.	Svaki voditelj obrade	AZOP; pogođene osobe kada je rizik visok	72 sata od saznanja	Priroda povrede, kategorije i približan broj osoba i zapisa, kontakt DPO-a, posljedice, poduzete mjere
Zakon o kibernetičkoj sigurnosti, čl. 37. st. 3.	Ključni i važni subjekti	Tijela kaznenog progona	Kada postoji sumnja na kazneno djelo	Obavijest o značajnom incidentu
Kazneni zakon	Svaka organizacija	Policija	Što prije	Kaznena prijava za neovlašteni pristup, ucjenu, računalnu prijevaru
Ugovori	Prema ugovoru	Klijenti, partneri, osiguratelj	Prema ugovoru	Prema ugovoru

Detalji prijave NIS2. Rano upozorenje sadrži datum i vrijeme saznanja, opis incidenta, podatak o sumnji na nezakonito ili zlonamjerno djelovanje i procjenu prekograničnog i međusektorskog učinka (čl. 66.). Početna obavijest dodaje procjenu ozbiljnosti, pogođene sustave i indikatore kompromitacije (čl. 67.). CSIRT može zatražiti privremeno izvješće u roku od 48 sati do sedam dana (čl. 69.). Završno izvješće sadrži uzrok, potvrđene indikatore, podatke o napadaču, učinak i mjere (čl. 70.). Ako je incident još u tijeku, umjesto završnog izvješća dostavlja se izvješće o napretku, a nakon 60 dana od početne obavijesti svakih 30 dana. Završno izvješće tada slijedi u 30 dana od posljednjeg izvješća o napretku (čl. 71.). Pružatelji usluga povjerenja početnu obavijest šalju već u 24 sata (čl. 68.).

Detalji prijave DORA. Ako financijski subjekt incident klasificira kao značajan tek nakon 24 sata od otkrivanja, početnu obavijest šalje u 4 sata od klasifikacije (čl. 5. st. 2. Delegirane uredbe 2025/301). Kada rok pada na vikend ili neradni dan, obavijest se može dostaviti do podneva prvog radnog dana. Ta iznimka ne vrijedi za početne obavijesti i prijelazna izvješća kreditnih institucija, središnjih drugih ugovornih strana, operatera mjesta trgovanja i financijskih subjekata koji su ključni ili važni subjekti prema NIS2 (st. 4. i 5.).

Što CSIRT vraća. Nadležni CSIRT u 24 sata od ranog upozorenja daje početne povratne podatke, a na zahtjev i smjernice i operativne savjete za ublažavanje incidenta (čl. 76. Uredbe). Ako obavijest nije potpuna, CSIRT određuje rok za otklanjanje nedostataka (čl. 75.). Subjekti obavještavaju i primatelje svojih usluga na koje incident može utjecati (čl. 38. Zakona). Obveze prijave i obavještavanja počinju teći 30 dana od dostave obavijesti o kategorizaciji subjekta (čl. 37. st. 4. i čl. 38. st. 3.).

Povreda osobnih podataka. AZOP je 2025. zaprimio 95 prijava povreda, s ukupno 164.916 pogođenih osoba. Najčešći uzroci bili su slanje podataka pogrešnoj osobi, ranjivosti sustava i ljudske pogreške. Sve povrede, i one koje se ne prijavljuju, bilježe se u internoj evidenciji (čl. 33. st. 5. GDPR-a).

Komunikacija tijekom incidenta

Zaposlenici: što se dogodilo, što smiju i ne smiju raditi, kome prijavljuju sumnjive poruke.
Klijenti: samo provjerene činjenice, što trebaju učiniti i kada stiže sljedeća obavijest.
Mediji: jedna osoba i odobrena izjava, bez nagađanja o uzroku i napadaču.
Regulatori: u propisanim rokovima, s napomenom što još nije poznato.
Napadač: komunikacija samo uz odluku uprave i stručnu pomoć. Portal No More Ransom, koji vode Europol, nizozemska policija i partneri iz industrije, savjetuje da se otkupnina ne plaća.

Javna izjava ne smije biti u suprotnosti s prijavom regulatoru. Usklađuju je pravna služba i voditelj incidenta.

Vježbe i mjerenje spremnosti

Plan koji nije uvježban rijetko radi. Preporučeni ritam:

vježba za stolom s upravom najmanje jednom godišnje, na scenariju ransomwarea ili curenja podataka, uključujući odluku o prijavi u 24 sata;
tehnička vježba povrata sigurnosnih kopija, s mjerenjem vremena;
simulacija phishinga za zaposlenike;
pregled plana nakon svakog stvarnog incidenta i svake veće promjene sustava.

Korisni pokazatelji: vrijeme od prvog upozorenja do proglašenja incidenta, vrijeme do ograničavanja širenja, vrijeme oporavka ključnih sustava i postotak prijava podnesenih u roku.

Najčešće pogreške

Nema plana ili ga nitko ne zna. Tim improvizira, a rokovi prijave prolaze.
Gašenje svega. Gube se dokazi iz radne memorije, a poslovanje staje više nego što je potrebno.
Kasna procjena obveza. Rok od 24 sata za NIS2 i 4 sata za DORA-u počinje dok se tehnički problem još rješava.
Kompromitirani kanal. Tim koordinira e-poštom koju napadač čita.
Vraćanje zaraženih kopija. Sustav se oporavi iz kopije u kojoj je napadač već bio.
Samo tehnički pristup. Bez pravne službe, komunikacija i uprave odluke kasne.
Nema analize nakon incidenta. Isti uzrok dovodi do ponovljenog incidenta, a dva incidenta s istim uzrokom u šest mjeseci mogu zajedno biti značajan incident.

Česta pitanja

Što je plan odgovora na kibernetički incident?

Dokument koji određuje tko proglašava incident i donosi odluke, kako se ograničava šteta, uklanja uzrok i oporavljaju sustavi te kome se i u kojem roku incident prijavljuje. Sadrži uloge sa zamjenama, kontakte izvan sustava tvrtke, postupke po scenarijima i kriterije prijave prema NIS2, DORA-i i GDPR-u.

Mora li mala tvrtka imati plan odgovora?

Ključni i važni subjekti moraju imati postupke za upravljanje incidentima prema Zakonu o kibernetičkoj sigurnosti. Ostalim tvrtkama zakon to ne propisuje izričito, ali GDPR traži prijavu povrede u 72 sata, što je teško bez pripreme. Kratki plan na dvije stranice s kontaktima i koracima za prvi sat dovoljan je početak.

Kada počinje rok za prijavu incidenta?

Prema NIS2 rok od 24 i 72 sata teče od trenutka saznanja za značajan incident, a prema GDPR-u rok od 72 sata od saznanja za povredu osobnih podataka. Prema DORA-i rok od 4 sata teče od klasifikacije incidenta kao značajnog, a najkasnije 24 sata od otkrivanja. Vrijeme saznanja treba zabilježiti.

Kome se prijavljuje kibernetički incident u Hrvatskoj?

NIS2 subjekti značajan incident prijavljuju nadležnom CSIRT-u putem platforme PiXi: Nacionalnom CERT-u za bankarstvo, infrastrukturu financijskog tržišta, registar domene .hr, istraživanje i obrazovanje, a NCSC-HR-u za ostale sektore (Prilog III. Zakona). Povreda osobnih podataka prijavljuje se AZOP-u, a kazneno djelo policiji.

Kada je incident značajan?

Kada ispunjava barem jedan kriterij iz Uredbe o kibernetičkoj sigurnosti: primjerice nedostupnost usluge za najmanje 20 % korisnika sat vremena, financijski gubitak od 100.000 eura ili 5 % prihoda, šteta za druge osobe ili kompromitacija njihovih podataka, ili ponovljeni incidenti s istim uzrokom u šest mjeseci.

Smijemo li ponovno uključiti sustav čim proradi?

Tek kada je uzrok uklonjen i potvrđeno da sustav i sigurnosne kopije nisu zaraženi. Prerano vraćanje omogućuje napadaču da nastavi ili ponovi napad. Nakon oporavka sustav se pojačano prati.

Tko smije komunicirati s napadačem?

Samo osoba koju odredi uprava, uz savjet stručnjaka za odgovor na incidente i pravne službe. Svaka poruka može otkriti informacije ili oslabiti položaj tvrtke. No More Ransom savjetuje da se otkupnina ne plaća.

Koliko često treba vježbati plan?

Vježbu za stolom s upravom razumno je provesti najmanje jednom godišnje, a povrat sigurnosnih kopija testirati redovito. Plan se ažurira nakon svakog stvarnog incidenta, promjene ključnih sustava ili dobavljača i promjene propisa.

Sljedeći korak

Plan odgovora, vježbe za stolom, procjenu obveza prijave i pomoć tijekom incidenta pružamo u sklopu usluge odgovora na incidente. Vrste napada i mjere zaštite objašnjava vodič Kibernetički napadi, a postupanje kod ransomwarea vodič Ransomware napad. Posljedice propuštene ili zakašnjele prijave opisuje vodič NIS2 kazne i osobna odgovornost uprave.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:

Ovaj vodič daje opće informacije. Značajnost incidenta i obveze prijave procjenjuju se prema činjenicama, sektoru i kategoriji subjekta.

POVEZANA USLUGA

Odgovor na incidente→

O AUTORU

Robert Lozo

Partner · CIPP/E · CIPM · CISM

Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.