Sajber napad u Srbiji: Ko snosi odgovornost – IT provajder, klijent ili podizvođač?
Oktobra 2025. Srbija je dobila novi Zakon o informacionoj bezbednosti – a sa njim i jasno postavljeno pitanje koje do tada nije imalo nedvosmislen odgovor: kada dođe do sajber napada, ko tačno snosi pravnu odgovornost? IT provajder koji je pao? Klijent čiji su podaci procureli? Podizvođač koji je propustio da ažurira sistem?
Odgovor nije jednostavan, a posledice pogrešne pretpostavke – finansijske, regulatorne i reputacione – mogu biti dalekosežne.
Novi zakonski okvir: NIS2 stiže u Srbiju
Novi Zakon o informacionoj bezbednosti, koji je stupio na snagu 31. oktobra 2025. godine, usklađen je sa evropskom NIS2 Direktivom i donosi sveobuhvatne obaveze za javni i privatni sektor. Zakon uvodi podelu operatora IKT sistema od posebnog značaja na prioritetne i važne, i za svaku kategoriju propisuje različite obaveze i visinu kazni.
Ključne novosti koje direktno utiču na IT kompanije i njihove klijente:
- Prijava incidenta u roku od 24 časa od saznanja za sajber napad koji može imati značajan uticaj na informacionu bezbednost,
- Obavezna procena rizika – akt o proceni rizika mora se revidirati najmanje jednom godišnje,
- Obaveštavanje korisnika – IKT operatori su dužni da bez odlaganja obaveste korisnike o incidentu i merama koje mogu preduzeti,
- Kazne do 2.000.000 RSD (oko 17.000 EUR) za prioritetne operatore, do 1.000.000 RSD za važne operatore.
Kancelarija za informacionu bezbednost, koja preuzima nadležnosti nacionalnog CERT-a, biće centralno telo za koordinaciju odgovora na incidente.
Ko odgovara za šta: Trostrani odnos
IT provajder je u najrizičnijoj poziciji. Ako je napad iskoristio propust u sistemu koji provajder održava, a provajder nije sproveo obavezne tehničke mere zaštite (višefaktorska autentifikacija, enkripcija, redovni backup, penetracioni testovi), klijent može pokrenuti odštetni zahtev po Zakonu o obligacionim odnosima – i to bez obzira na to da li je napad bio „neizbeživ“. SLA klauzule u ugovorima moraju jasno definisati koji bezbednosni standard provajder garantuje, u kom roku reaguje na incident i šta se dešava ako ne odgovori na vreme.
Klijent nije automatski zaštićen činjenicom da je angažovao eksternog provajdera. Ako je klijent imao uticaj na bezbednosnu arhitekturu ili je ignorisao preporuke provajdera (npr. odbio implementaciju MFA), njegov doprinos nastanku štete može biti sudski relevantna okolnost za podelu odgovornosti.
Podizvođač koji razvija ili integriše delove sistema odgovara po ugovoru o delu ili ugovoru o razvoju softvera. Ovde nastaje lanac odgovornosti: ako je primarni IT provajder angažovao podizvođača koji je uneo ranjivost, klijent može tužiti provajdera, a provajder može regresno tražiti od podizvođača. Da bi taj regresni zahtev bio osnovan, ugovor mora eksplicitno sadržavati klauzule o bezbednosnim standardima koje podizvođač mora ispuniti.
Obaveštavanje i prijava – Obaveza, ne opcija
Jedan od najčešćih propusta u praksi je kašnjenje u obaveštavanju. Novi zakon pravi jasnu razliku između:
- Prijave Kancelariji za informacionu bezbednost – u roku od 24 časa od saznanja za incident,
- Obaveštavanja korisnika – bez odlaganja, o samom incidentu i dostupnim merama zaštite,
- Prijavljivanja izbegnutih incidenata (near misses) koji predstavljaju ozbiljnu pretnju.
Kašnjenje u prijavi može biti samostalni osnov za izricanje novčane kazne – čak i ako šteta po korisnika nije nastupila.
Reputacija: Nevidljivi trošak napada
Prema istraživanjima u EU, gubitak reputacije nakon sajber napada može biti dugoročno skuplji od direktne finansijske štete. Za domaće IT kompanije i provajdere oblak usluga koji rade sa EU klijentima, jedan incident može pokrenuti lanac raskida ugovora. Upravo zbog toga novi zakon logično vezuje tehničke obaveze sa komunikacionim – obaveštavanjem korisnika odmah i transparentno.
Ugovorna zaštita – Šta mora biti u svakom IT ugovoru?
Da biste minimizovali pravnu izloženost, svaki IT ugovor treba da sadrži:
- Jasnu definiciju bezbednosnih standarda (ISO 27001, SOC 2 ili vlastita politika zaštite podataka),
- SLA klauzulu o vremenu odziva na incident (npr. 4h za kritične incidente),
- Incident notification clause – ko koga obaveštava, u kom roku i na koji način,
- Podelu odgovornosti za štetu nastalu povredom IKT sistema,
- Pravo klijenta na reviziju bezbednosnih mera (penetracioni testovi),
- Klauzulu o odgovornosti podizvođača prema istim standardima.
Zaključak
Sajber napad više nije samo IT problem – to je pravni, regulatorni i reputacioni događaj. Novi Zakon o informacionoj bezbednosti iz 2025. donosi Srbiji evropske standarde, ali i nove kazne i obaveze. Pametne IT kompanije i njihovi klijenti ne čekaju incident da bi uredili odnose – to rade ugovorom, unapred. Ako niste sigurni da li su vaši ugovori usklađeni sa novim zakonom, pravo je vreme da to proverite.
Potreban vam je pravni savet?
Za više pravnih informacija zapratite nas na:
