Kada firma razmišlja o usklađivanju sa Zakonom o informacionoj bezbednosti, prvo pitanje je skoro uvek "koliko će nas to koštati". Pravo pitanje bi trebalo da bude drugačije: koliko košta da se ovim ne pozabavimo, i kada tačno taj račun stiže. Odgovor na drugo pitanje je gotovo uvek veći, manje predvidljiv i razvučen na mnogo duži period nego što firme očekuju.
Analiza rizika, gep analiza, izrada Akta o bezbednosti IKT sistema i obuka zaposlenih su planirani, jednokratni ili godišnji troškovi čiju visinu firma zna unapred. To je trošak koji se budžetira kao i svaki drugi — jasno definisan opseg posla, jasan rok, jasna cena.
Kada dođe do bezbednosnog incidenta, troškovi se pojavljuju u talasima, mnogi tek posle nekoliko meseci, i retko u redosledu koji bi firma sama izabrala. Evo kojim redom se ti troškovi realno pojavljuju:
Ovo je prvi i često najskuplji, a najteže merljiv trošak. Prema istraživanjima potrošačkog poverenja, između 66% i 81% korisnika izjavljuje da bi izgubilo poverenje ili prestalo da posluje sa firmom nakon što sazna da je pretrpela bezbednosni incident u kom su ugroženi njihovi podaci. Prema IBM-ovom godišnjem izveštaju o ceni proboja podataka (Cost of a Data Breach Report), izgubljen posao — otkazani ugovori, odlazak klijenata, propuštene prilike — čini oko 30% ukupne cene proboja, više od bilo koje druge pojedinačne stavke.
Dok se sistem ne oporavi, posao stoji — porudžbine se ne primaju, proizvodnja kasni, korisnička podrška ne radi. Prema poslednjim globalnim istraživanjima o ransomver napadima, prosečan zastoj u radu iznosi između tri i skoro četiri nedelje. Svaki dan zastoja se direktno prevodi u izgubljen promet, bez obzira na to da li je firma velika ili mala — razlika je samo u apsolutnom iznosu, ne u principu.
Oporavak sistema posle ozbiljnog napada retko znači samo "vraćanje rezervne kopije". Prema globalnim podacima, prosečan trošak oporavka od ransomver napada — bez računanja same otkupnine — iznosi oko 1,5 miliona dolara na globalnom nivou. Ovo je globalni prosek koji uključuje i velike korporacije, pa ga treba čitati kao ilustraciju reda veličine problema, a ne kao predviđanje za svaku firmu — ali princip ostaje isti: oporavak infrastrukture posle napada je skuplji od održavanja te iste infrastrukture bezbednom unapred.
Ako firma odluči (ili bude prinuđena) da plati otkupninu, prosečna otkupnina u 2025. godini iznosila je oko milion dolara, dok je medijalna, tipičnija otkupnina bila oko 110.000 dolara — i to bez ikakve garancije da će podaci zaista biti vraćeni.
Novčane kazne za neusklađenost sa Zakonom o informacionoj bezbednosti — koje smo detaljno opisali u posebnom tekstu — kreću se okvirno od 50.000 do 2.000.000 dinara za firmu, i od 5.000 do 50.000 dinara za odgovorno lice lično. U poređenju sa reputacionim gubitkom, zastojem u poslovanju i troškovima oporavka, kazna je po pravilu najmanja, a ne najveća stavka na ukupnom računu — iako je upravo kazna ono čega se firme najčešće plaše.
Korisno je razlikovati četiri vrste troškova, jer se retko svi vide odjednom:
Najvažniji, a najmanje intuitivan podatak iz IBM-ovog izveštaja jeste ovaj: firmama u proseku treba 241 dan da uopšte otkriju i obuzdaju bezbednosni proboj. To znači da se šteta gomila mesecima pre nego što firma zna da je napadnuta — a reputacioni efekat i gubitak klijenata se onda osećaju još mesecima, ponekad godinama posle samog incidenta. Za razliku od toga, trošak analize rizika i Akta o bezbednosti IKT sistema je poznat od prvog dana, unapred, u celosti.
Podaci u ovom tekstu preuzeti su iz javno dostupnih izvora: IBM Cost of a Data Breach Report 2025, Sophos State of Ransomware 2025, Coveware kvartalni izveštaji o ransomver napadima, i istraživanja potrošačkog poverenja nakon proboja podataka. Reč je o globalnim prosecima koji ilustruju red veličine i redosled troškova, a ne o predviđanju za konkretnu firmu. Domaći iznosi kazni preuzeti su iz javno dostupnih izvora o Zakonu o informacionoj bezbednosti. Tekst ne predstavlja finansijski ni pravni savet.