Program revizije DRI za 2026. godinu i šta on znači za informacionu bezbednost

Državna revizorska institucija (DRI) je najviši organ državne revizije u Srbiji i, pored finansijskih izveštaja, proverava i da li korisnici javnih sredstava posluju zakonito i svrsishodno — što sve češće uključuje i reviziju informacionih sistema i informacione bezbednosti. U praksi, DRI proverava upravo ono što propisuje Zakon o informacionoj bezbednosti: da li postoji upravljanje rizikom, akt o bezbednosti IKT sistema i osnovne tehničke i organizacione mere zaštite.

Šta dosadašnje revizije pokazuju

U više revizija sprovedenih tokom poslednje dve godine, kod različitih korisnika javnih sredstava DRI je ponovljeno utvrđivala vrlo sličan obrazac nedostataka:

• upravljanje informacionom bezbednošću nije organizaciono ni kadrovski uspostavljeno;
• ne postoje pravila za praćenje i kontrolu zapisa o događajima (logova);
• koriste se deljeni ili generički administratorski nalozi, bez jasne pojedinačne odgovornosti;
• saradnja sa spoljnim pružaocima IT usluga nije formalno regulisana, posebno za slučaj prekida saradnje;
• rezervne kopije podataka se ne testiraju redovno;
• pristup osetljivim podacima nije dovoljno ograničen ni evidentiran.

Ovo nisu izolovani slučajevi — reč je o obrascu koji se ponavlja kod institucija različite veličine i delatnosti, što govori da je u pitanju sistemski, a ne pojedinačni problem.

Ako ste već dobili negativnu ocenu

Ako je vaša institucija ili firma već bila predmet revizije ili inspekcijskog nadzora i dobila slične primedbe — bilo od DRI, bilo od Kancelarije za informacionu bezbednost — najbolje je da nas kontaktirate što pre. Post-revizioni izveštaji po pravilu nose rok za otklanjanje utvrđenih nedostataka, a nedostaci koji ostanu neotklonjeni u narednoj proveri se ponavljaju i nose ozbiljnije posledice. Brza, ciljana intervencija u ovoj fazi je bitno jeftinija i jednostavnija od čekanja na sledeću reviziju.

Program revizije za 2026. — najava kao prilika, ne kao pretnja

U martu 2026. DRI je objavila Program revizije za 2026. godinu, koji obuhvata 141 korisnika javnih sredstava — ministarstva, lokalne samouprave, zdravstvene ustanove, ustanove obrazovanja i javna preduzeća. Značajan deo ovogodišnjeg programa direktno se odnosi na informacione sisteme.

Ono što je posebno važno: DRI svoj godišnji program revizije objavljuje unapred, sa spiskom subjekata koji će biti provereni. To znači da institucija ili javno preduzeće koje zna da je na spisku ne mora da čeka samu reviziju da bi saznalo gde stoji — ima na raspolaganju period da se pripremi. Taj period, između objave programa i posete revizora, idealan je trenutak da se angažuje specijalizovan, sertifikovan tim koji će sprovesti analizu rizika i gep analizu, i po potrebi izraditi ili ažurirati Akt o bezbednosti IKT sistema — pre nego što se eventualni nedostaci zvanično utvrde i upišu u izveštaj.