Kazne za neusklađenost sa Zakonom o informacionoj bezbednosti — šta rizikuje odgovorno lice

Ako ste tek saznali da vaša firma treba da se uskladi sa Zakonom o informacionoj bezbednosti, verovatno vas pored same procedure zanima i jedno praktično pitanje: šta se dešava ako se to ne uradi na vreme? Odgovor je važan i za firmu i, možda još više, lično za vas kao odgovorno lice.

Ko je odgovoran?

Zakon obavezu usklađivanja ne stavlja samo na firmu kao pravno lice — imenovano odgovorno lice (obično direktor ili posebno ovlašćeno lice) lično odgovara ako obaveze nisu ispunjene. To znači da posledice neusklađenosti nisu apstraktan "trošak firme", već konkretna, lična novčana odgovornost osobe koja potpisuje dokumenta.

Koje su novčane kazne?

Prema dostupnim izvorima, kazne za prekršaje iz Zakona o informacionoj bezbednosti se okvirno kreću:

• za pravno lice (firmu): od oko 50.000 do 2.000.000 dinara, zavisno od vrste prekršaja i kategorije IKT sistema (važan ili prioritetan);
• za odgovorno lice lično: od oko 5.000 do 50.000 dinara.

Prekršaji koji se sankcionišu obuhvataju, između ostalog: nepostojanje Akta o bezbednosti IKT sistema, nesprovedenu analizu rizika, neprimenjene tehničke i organizacione mere zaštite, i neprijavljivanje bezbednosnih incidenata nadležnom telu.

Novčana kazna nije jedina posledica

Osim direktne novčane kazne, neusklađenost nosi i druge, često skuplje posledice:

• Pojačan inspekcijski nadzor — jednom kad se uoči propust, firma po pravilu ulazi u fokus daljih provera;
• Reputacioni rizik — posebno osetljivo za firme koje rade sa javnim sektorom ili obrađuju podatke građana;
• Realna izloženost sajber napadima — kazna je posledica propuštene mere, ali sam propust (npr. nepostojanje analize rizika) znači da je firma stvarno nezaštićena, nezavisno od toga da li je inspekcija to primetila.

Kako se ovo izbegava?

Rešenje nije komplikovano, ali zahteva da se krene na vreme: sprovede se analiza rizika, izradi Akt o bezbednosti IKT sistema, sprovede obuka zaposlenih, i uspostavi procedura za prijavu incidenata. Ako niste sigurni da li se zakon uopšte odnosi na vašu firmu ili u koju kategoriju spadate, to je prvo pitanje koje treba razjasniti — pre nego što rok postane problem.