Prijava kibernetičkog incidenta

Kada jedna prijava razdvaja incident od katastrofe

Prijava incidenta nije obrazac koji se ispunjava kako bi se zadovoljio regulator. Prijava je obrambeni mehanizam. Njome štitite svoju organizaciju, ali i cijeli ekosustav u kojem poslujete.

U ovom članku razotkrivamo zašto prijava kibernetičkog incidenta zaslužuje biti tretirana kao kritična komponenta obrane, a ne kao administrativni teret.

Razmatramo kako prijava uklapa u ciklus obrane, koji su praktični izazovi i kako ih prevladati te kako izgraditi kulturu u kojoj je prijava prirodan, a ne forsiran dio sigurnosnog procesa.

Pritom se oslanjamo na najnovije podatke iz 2025. i 2026. godine, uključujući statistike hrvatskog Nacionalnog CERT-a, IBM-ov izvještaj Cost of a Data Breach i recentna europska istraživanja o ransomwareu.

Krajobraz prijetnji u 2025. i 2026.

Prije nego što uđemo u srž argumenta, pogledajmo kontekst u kojem se danas nalazimo. Brojke jasno pokazuju eskalaciju.

Nacionalni CERT je u 2025. godini zabilježio ukupno 1513 kibernetičkih incidenata, što predstavlja povećanje od 35,9 % u odnosu na 2024. godinu.

Broj obrađenih incidenata odnosi se isključivo na one za koje je Nacionalni CERT zaprimio prijavu ili ih je otkrio vlastitim aktivnostima.

Najzastupljeniji tipovi bili su napadi phishinga (32%), neželjene poruke (19%), ostale vrste financijski motiviranih prijevara (18 %) te napadačka infrastruktura (12 %).

Ukupno je 2.066 ransomware incidenata pogodilo europske organizacije u 31 zemlji između siječnja 2025. i travnja 2026.

Samo pet zemalja — Njemačka, Ujedinjeno Kraljevstvo, Francuska, Italija i Španjolska — činilo je 70 % svih incidenata, a najaktivnija ransomware grupa bila je Qilin, prisutna u 26 od 31 analizirane zemlje.

Posebno je zabrinjavajuća brzina kojom napadači djeluju.

Prema podacima iz 2025., prosječno vrijeme proboja (breakout time) smanjilo se na samo 29 minuta, što znači da napadači mogu lateralno se kretati mrežom i uspostaviti dublji pristup brže nego što većina organizacija može reagirati.

U takvom okruženju, svaki sat kašnjenja u prijavi incidenta je sat u kojem druge organizacije ostaju nezaštićene. Svaka neprijavljena anomalija je potencijalni nedostajući dio slagalice koji bi mogao spriječiti sljedeći veći napad.

Hrvatska je u lipnju 2024. na vlastitoj koži iskusila što znače koordinirani kibernetički napadi.

Dana 27. lipnja 2024. u jutarnjim satima došlo je do kibernetičkog napada na sustave Kliničkog bolničkog centra Zagreb, nakon čega su bili primorani isključiti sve sustave zbog dodatnih provjera.

Liječnici nisu mogli pristupiti radiološkim nalazima, sustavi za printanje nalaza bili su nedostupni, a osoblje je moralo prijeći na ručno dokumentiranje.

Napad je uslijedio dan nakon što su hakeri napali internetske stranice Ministarstva financija, Porezne uprave, HNB-a i Zagrebačke burze. Ovaj niz događaja jasno je pokazao kako napadi rijetko dolaze izolirano i zašto je razmjena informacija među organizacijama ključna.

Percepcijski problem: zašto prijavu doživljavamo kao papirologiju

Kada se kibernetički incident dogodi, timovi za informacijsku sigurnost ulaze u svojevrsni ratni režim rada. Fokus je na zaustavljanju prijetnje, očuvanju sustava, zaštiti podataka i ponovnom uspostavljanju normalnog rada.

U tom kontekstu, prijava incidenta prema regulatoru, nacionalnom CERT-u ili nadležnom tijelu doživljava se kao nešto što dolazi poslije, nešto što odvlači resurse od stvarnog posla.

Taj stav je razumljiv. No on je i duboko pogrešan.

Prijava se percipira kao izlazni podatak, kao izvještaj koji se šalje nakon što je sve gotovo, sličan administrativnom zaključivanju projekta. U stvarnosti, prijava je ulazni podatak za čitav obrambeni ekosustav.

Ona nije završetak procesa, nego pokretač niza obrambenih radnji koje nadilaze granice jedne organizacije.

Istraživanja konzistentno pokazuju da organizacije koje aktivno prijavljuju incidente imaju kraće vrijeme oporavka, bolju pripremljenost za buduće napade i nižu ukupnu štetu.

Prema IBM-ovu izvještaju Cost of a Data Breach za 2025. godinu, dijeljenje obavještajnih podataka o prijetnjama (threat intelligence sharing) spada među pet najvažnijih čimbenika koji smanjuju troškove povrede podataka, s prosječnom uštedom od 211.906 dolara po incidentu.

No brojke su samo dio priče. Stvarna promjena počinje u načinu razmišljanja. bAŠ tome doprinosi i izgradnja kvalitetnog plana odgovora na sigurnosni incident koji prijavu tretira kao integralni korak, a ne naknadno razmišljanje.

Zašto je prijava dio obrane, a ne administracije

Dijeljenje obavještajnih podataka o prijetnjama u stvarnom vremenu

Svaka prijava kibernetičkog incidenta sadrži obavještajne podatke.

Indikatori kompromitacije (IOC), taktike, tehnike i procedure (TTP) koje napadači koriste, vektori napada, iskorištene ranjivosti, sve su to informacije koje, kada se dijele, postaju oružje obrane.

Obavještajni podaci o prijetnjama postaju značajno moćniji kada se dijele unutar zajednica povjerenja, jer dijeljenje pomaže u identificiranju koordiniranih kampanja, zero-day ranjivosti i napadačke infrastrukture prije nego što se prošire.

Kada prijavite incident nacionalnom CERT-u, vi ne šaljete samo obavijest o tome što se vama dogodilo.

Vi doprinate bazi znanja koja omogućuje identifikaciju trendova, prepoznavanje kampanja u tijeku i proaktivno upozoravanje drugih organizacija. V

aša prijava može biti jedini nedostajući dio slagalice koji povezuje naizgled nepovezane napade u koordiniranu kampanju.

Sve nabrojano su razlozi zašto je analiza ranjivosti sustava koju provodite nakon incidenta jednako vrijedna za širu zajednicu koliko i za vašu vlastitu organizaciju.

Prepoznavanje uzoraka koje pojedinačna organizacija ne može vidjeti

Jedna organizacija vidi jedan incident. Nacionalni CERT ili sektorski ISAC (Information Sharing and Analysis Center) vidi stotine incidenata. Ta razlika u perspektivi je ključna.

Sustavi ranog upozoravanja

Prijave incidenata hrane sustave ranog upozoravanja koji mogu zaštititi organizacije koje još nisu napadnute.

Kada se pojavi nova vrsta ransomwarea ili nova tehnika phishinga, brza prijava od strane prvih pogođenih organizacija omogućuje upozoravanje čitavog sektora prije nego što se napad proširi.

Ovaj mehanizam funkcionira samo ako organizacije prijavljuju incidente pravovremeno i s dovoljno detalja. Svaki dan kašnjenja u prijavi je dan u kojem druge organizacije ostaju nezaštićene.

Poboljšanje vlastitog odgovora na incidente

Proces prijave nije jednosmjerna ulica. Platforma PiXi, koju je Hrvatska razvila upravo za ovu svrhu, omogućuje ne samo ispunjavanje zakonskih obveza, nego i dobivanje stručne podrške nadležnog CSIRT-a prijavom incidenta organizacije mogu dobiti operativne savjete i smjernice za ublažavanje štete.

Tim povratnim informacijama možete poboljšati vlastiti odgovor na incident, provjeriti jeste li potpuno uklonili prijetnju i identificirati potencijalne vektore ponovnog kompromitiranja koje možda niste uzeli u obzir.

Ovo je posebno važno za organizacije koje provode testiranje incidentnog odgovora. Dakle, svaka stvarna prijava je prilika za validaciju i poboljšanje postojećih procedura.

Obrambeni ciklus

Kibernetička obrana nije linearan proces, već ciklus koji se neprestano ponavlja i usavršava. Prijava incidenta nije izoliran korak na kraju tog ciklusa, nego integralni dio koji povezuje sve ostale faze:

• Detekcija — Organizacija identificira sigurnosni događaj ili anomaliju. Sustavi nadzora, SIEM alati ili korisnici primjećuju nešto neobično. Kvalitetan sigurnosni audit malih tvrtki trebao bi uključivati provjeru lozinki i pristupa korisnika te skeniranje ranjivosti besplatni alati mogu obaviti za početak.

• Prijava — Incident se dokumentira i prijavljuje internim i eksternim dionicima. Faza uključuje internu eskalaciju, ali i prijavu prema nacionalnom CERT-u, regulatoru ili sektorskom tijelu.

• Odgovor — Tim za odgovor na incidente poduzima korektivne radnje. Izolacija pogođenih sustava, forenzička analiza, neutralizacija prijetnje.

• Oporavak — Sustavi se vraćaju u normalan rad. Podaci se restauriraju prema pravilu 3-2-1 sigurnosne kopije, ranjivosti se zakrpavaju, sigurnosne kontrole jačaju.

• Učenje — Provodi se post-incident analiza. Što se dogodilo? Zašto? Kako spriječiti ponavljanje? Koji su procesi zakazali?

• Prilagodba — Na temelju naučenih lekcija, organizacija prilagođava svoje sigurnosne politike, procedure i kontrole.

Prijava povezuje fazu detekcije s fazom učenja, ne samo za vašu organizaciju, nego za čitav ekosustav. Bez prijave, ciklus je nepotpun. Organizacija uči samo iz vlastitog iskustva, umjesto da koristi kolektivno znanje čitave zajednice.

Zamislite to kao imunološki sustav.

Kada jedno tijelo prepozna patogen, informacija se dijeli s čitavim organizmom. Kibernetički ekosustav funkcionira na istom principu, ali samo ako postoji mehanizam dijeljenja informacija. Prijava incidenta je taj mehanizam.

Platforma PiXi: kako Hrvatska gradi infrastrukturu za prijavu

U kontekstu prijave incidenata u Hrvatskoj posebno je važno istaknuti Platformu PiXi, koju je CARNET razvio kao nacionalnu platformu za prikupljanje, analizu i razmjenu podataka o kibernetičkim prijetnjama i incidentima.

Stvaranjem PiXi platforme ubrzan je i pojednostavljen postupak prijave incidenata za sve obveznike regulative koja uređuje područje kibernetičke sigurnosti.

Postavljeni su temelji učinkovite i koordinirane zaštite nacionalnog kibernetičkog prostora. Platforma predstavlja nacionalnu točku razmjene informacija i izvještavanja o kibernetičkim prijetnjama.

CARNET i NCSC-HR pokrenuli su u svibnju 2026. kampanju za podizanje svijesti o Zakonu o kibernetičkoj sigurnosti te važnosti pravodobne prijave incidenata putem platforme PiXi.

Ova kampanja, pokrenuta samo dva mjeseca prije pisanja ovog članka, jasno pokazuje da i same institucije prepoznaju potrebu za promjenom percepcije: prijava nije birokratski teret, nego ključna karika u lancu obrane.

Kako organizatori kampanje ističu, prijava nije samo administrativna ili zakonska obveza. Ona je važan doprinos zajedničkoj zaštiti, jer svaka prijava pomaže u stvaranju jasnije slike o prijetnjama, bržoj reakciji nadležnih tijela i jačanju otpornosti organizacija u Hrvatskoj.

Praktične prepreke i kako ih prevladati

Unatoč svim navedenim prednostima, mnoge organizacije i dalje oklijevaju s prijavom incidenata. Razlozi su razumljivi, ali nijedan nije nepremostiv.

Prepreka: Nedostatak vremena i resursa

U sredini aktivnog incidenta, svaki član tima ima pune ruke posla. Pisanje prijave čini se kao luksuz koji si ne mogu priuštiti.

Rješenje:

• Pripremite predloške prijava unaprijed.

• Definirajte tko je odgovoran za prijavu kao dio plana odgovora na incidente. Automatski prikupljajte podatke koji će biti potrebni za prijavu.

• Koristite alate koji omogućuju brzo generiranje inicijalnih prijava iz podataka koje ionako prikupljate tijekom odgovora na incident.

Rano upozorenje prema NIS2 ne zahtijeva detaljnu analizu. dovoljno je poslati osnovne informacije o tome da se incident dogodio i kakav je potencijalni utjecaj.

Izgradnja kulture prijavljivanja

Tehnički alati i procesi su nužni, ali nedovoljni. Stvarna promjena dolazi kroz kulturu organizacije.

Podrška vodstva

Ako uprava doživljava prijavu incidenta kao nužno zlo ili, gore, kao znak neuspjeha sigurnosnog tima, nitko u organizaciji neće biti motiviran za pravovremenu i kvalitetnu prijavu.

NIS2 uvodi osobnu odgovornost članova uprave za kibernetičku sigurnost. CISO ili voditelj informacijske sigurnosti mora imati direktan pristup upravi i da se prijava incidenata tretira kao strateška aktivnost, a ne operativni detalj.

Zaštita podataka u malim tvrtkama počinje upravo ovdje, od jasne posvećenosti vodstva.

Kultura bez okrivljavanja

Jedan od najvećih ubojica kulture prijavljivanja je strah od posljedica. Ako zaposlenici strahuju da će biti kažnjeni jer su kliknuli na phishing link ili jer su primijetili anomaliju koju nisu odmah eskalirali, incidenti će se zataškavati ili prijavljivati sa zakašnjenjem.

Organizacije s razvijenom sigurnosnom kulturom nagrađuju pravovremenu prijavu, čak i kada je zaposlenik sam bio uzrok incidenta. Provjera lozinki i pristupa korisnika trebala bi biti redovita praksa, a ne reakcija na incident.

Integracija s planom odgovora na incidente

Prijava ne smije biti naknadna misao. Ona mora biti eksplicitno ugrađena u plan odgovora na sigurnosni incident, s jasno definiranim odgovornostima, rokovima i procedurama. Tko prijavljuje interno? Tko prijavljuje prema regulatoru? Tko prema nacionalnom CERT-u? U kojem roku? Koje informacije su potrebne u kojoj fazi?

Sve ovo mora biti definirano, dokumentirano i uvježbano prije nego što se incident dogodi. Sredina incidenta nije vrijeme za improvizaciju.

Redovite vježbe

Prijava incidenta trebala bi biti uključena u svaku tabletop vježbu i svaku simulaciju odgovora na incidente. Tim mora uvježbati ne samo tehničke aspekte odgovora, nego i komunikacijske i administrativne aspekte, uključujući prijavu.

Testiranje incidentnog odgovora koje ne uključuje simulaciju prijave prema regulatoru je nepotpuno testiranje. Samo tako prijava postaje automatski dio procesa, a ne dodatni teret koji se nameće u najstresnijem mogućem trenutku.

Preporuke za učinkovitu prijavu kibernetičkih incidenata

Na temelju svega navedenog, evo konkretnih preporuka koje svaka organizacija može primijeniti.

Što prijaviti

• Svaki incident koji ima ili može imati značajan utjecaj na pružanje vaših usluga ili poslovanje.
• Svaku povredu osobnih podataka koja predstavlja rizik za prava i slobode pojedinaca.
• Aktivne napade u tijeku, čak i prije nego što je opseg potpuno utvrđen.

Kada prijaviti

• Što prije. Rano upozorenje unutar 24 sata od saznanja o značajnom incidentu prema NIS2 zahtjevima.
• Ne čekajte da imate sve informacije. Inicijalnu prijavu pošaljite s onim što znate, a detalje dopunite naknadno.
• Kašnjenje u prijavi smanjuje vrijednost informacija za obranu drugih organizacija.

Kako prijaviti učinkovito

• Koristite standardizirane predloške koje pružaju nadležna tijela.
• Uključite tehničke indikatore kompromitacije: IP adrese, hasheve datoteka, domene, obrasce mrežnog prometa.
• Opišite kronologiju događaja: kada je incident detektiran, koje su radnje poduzete, kakav je trenutni status.
• Navedite procjenu utjecaja: koji sustavi su pogođeni, koliko korisnika je zahvaćeno, postoji li rizik za širu zajednicu.
• Budite konkretni i činjenični. Izbjegavajte pretpostavke bez jasnog označavanja da su pretpostavke.

Interna priprema

• Definirajte procedure prijave u planu odgovora na incidente. Izradite detaljan inventar IT imovine kako biste brzo mogli identificirati pogođene sustave.
• Odredite odgovorne osobe za internu i eksternu prijavu.
• Pripremite predloške i automatizirajte prikupljanje potrebnih podataka gdje je moguće.
• Uvježbajte prijavu kao dio redovitih sigurnosnih vježbi.
• Uspostavite komunikacijske kanale s nacionalnim CERT-om prije nego što vam zatrebaju.

Usporedba dviju perspektiva

Kako biste jasnije vidjeli razliku između administrativnog i obrambenog pristupa prijavi, razmotrite sljedeću usporedbu.

Administrativni pristup tretira prijavu kao obvezu koju treba ispuniti. Fokus je na zadovoljavanju regulatornih zahtjeva, prijava se piše na kraju incidenta, sadrži minimum potrebnih informacija i doživljava se kao teret. Organizacija prijavljuje jer mora.

Obrambeni pristup tretira prijavu kao strateški čin.

Fokus je na doprinosu kolektivnoj obrani, prijava se pokreće rano u procesu odgovora, sadrži detaljne tehničke podatke korisne za analizu prijetnji i doživljava se kao dio odgovora na incident. Organizacija prijavljuje jer razumije da time štiti sebe i druge.

Prijava je odgovornost

Kibernetička sigurnost nikada nije bila, niti može biti, individualan sport. U svijetu u kojem su prijetnje sofisticirane, ciljane i neprestano evoluirajuće, nijedna organizacija ne može se braniti sama.

Kolektivna obrana, utemeljena na dijeljenju informacija i suradnji, jedini je održivi model. Prijava kibernetičkog incidenta je temelj te kolektivne obrane. Svaki put kada prijavite incident, vi ne ispunjavate obrazac.

Vi dijelite obavještajne podatke koji mogu zaštititi stotine drugih organizacija. Vi doprinate bazi znanja koja pomaže u razumijevanju prijetnji. Vi aktivirate mehanizme ranog upozoravanja. Vi jačate čitav ekosustav.

Da, prijava zahtijeva vrijeme i resurse. Da, postoje administrativni aspekti. No svrstati prijavu u kategoriju administracije isto je kao svrstati vatrogasni alarm u kategoriju buke. Tehnički točno, ali fundamentalno pogrešno.

Sljedeći put kada se vaša organizacija suoči s kibernetičkim incidentom, ne doživljavajte prijavu kao papirologiju koja dolazi nakon stvarnog posla. Doživite ju kao dio stvarnog posla. Jer to ona jest.