Kazne za neusklađenost sa Zakonom o informacionoj bezbednosti — šta rizikuje odgovorno lice

Ako ste tek saznali da vaša firma treba da se uskladi sa Zakonom o informacionoj bezbednosti, verovatno vas pored same procedure zanima i jedno praktično pitanje: šta se dešava ako se to ne uradi na vreme? Odgovor je važan i za firmu i, možda još više, lično za vas kao odgovorno lice.

Ko je odgovoran?

Zakon obavezu usklađivanja ne stavlja samo na firmu kao pravno lice — imenovano odgovorno lice (obično direktor ili posebno ovlašćeno lice) lično odgovara ako obaveze nisu ispunjene. To znači da posledice neusklađenosti nisu apstraktan "trošak firme", već konkretna, lična novčana odgovornost osobe koja potpisuje dokumenta.

Koje su novčane kazne?

Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025) u članovima 50–53 propisuje novčane kazne koje zavise od toga da li je firma operator prioritetnog ili važnog IKT sistema, kao i od vrste prekršaja:

Kažnjava se, između ostalog, kada operator: ne upiše se u evidenciju, ne donese Akt o proceni rizika ili Akt o bezbednosti IKT sistema, ne primeni mere zaštite određene Aktom, ne izvrši proveru usklađenosti, ne dostavi statističke podatke, ne postupi po nalogu inspektora za informacionu bezbednost, ili ne obavesti o incidentu u propisanom roku.

Važno je da se odgovorno lice kažnjava posebno, pored kazne za samu firmu — što znači da odgovornost ne prestaje plaćanjem kazne od strane pravnog lica.

Novčana kazna nije jedina posledica

Osim direktne novčane kazne, neusklađenost nosi i druge, često skuplje posledice:

• Pojačan inspekcijski nadzor — jednom kad se uoči propust, firma po pravilu ulazi u fokus daljih provera;
• Reputacioni rizik — posebno osetljivo za firme koje rade sa javnim sektorom ili obrađuju podatke građana;
• Realna izloženost sajber napadima — kazna je posledica propuštene mere, ali sam propust (npr. nepostojanje analize rizika) znači da je firma stvarno nezaštićena, nezavisno od toga da li je inspekcija to primetila.

Kako se ovo izbegava?

Rešenje nije komplikovano, ali zahteva da se krene na vreme: sprovede se analiza rizika, izradi Akt o bezbednosti IKT sistema, sprovede obuka zaposlenih, i uspostavi procedura za prijavu incidenata. Ako niste sigurni da li se zakon uopšte odnosi na vašu firmu ili u koju kategoriju spadate, to je prvo pitanje koje treba razjasniti — pre nego što rok postane problem.