Када фирма размишља о усклађивању са Законом о информационој безбедности, прво питање је скоро увек "колико ће нас то коштати". Право питање би требало да буде другачије: колико кошта да се овим не позабавимо, и када тачно тај рачун стиже. Одговор на друго питање је готово увек већи, мање предвидљив и развучен на много дужи период него што фирме очекују.
Анализа ризика, геп анализа, израда Акта о безбедности ИКТ система и обука запослених су планирани, једнократни или годишњи трошкови чију висину фирма зна унапред. То је трошак који се буџетира као и сваки други — јасно дефинисан опсег посла, јасан рок, јасна цена.
Када дође до безбедносног инцидента, трошкови се појављују у таласима, многи тек после неколико месеци, и ретко у редоследу који би фирма сама изабрала. Ево којим редом се ти трошкови реално појављују:
Ово је први и често најскупљи, а најтеже мерљив трошак. Према истраживањима потрошачког поверења, између 66% и 81% корисника изјављује да би изгубило поверење или престало да послује са фирмом након што сазна да је претрпела безбедносни инцидент у ком су угрожени њихови подаци. Према IBM-овом годишњем извештају о цени пробоја података (Cost of a Data Breach Report), изгубљен посао — отказани уговори, одлазак клијената, пропуштене прилике — чини око 30% укупне цене пробоја, више од било које друге појединачне ставке.
Док се систем не опорави, посао стоји — поруџбине се не примају, производња касни, корисничка подршка не ради. Према последњим глобалним истраживањима о рансомвер нападима, просечан застој у раду износи између три и скоро четири недеље. Сваки дан застоја се директно преводи у изгубљен промет, без обзира на то да ли је фирма велика или мала — разлика је само у апсолутном износу, не у принципу.
Опоравак система после озбиљног напада ретко значи само "враћање резервне копије". Према глобалним подацима, просечан трошак опоравка од рансомвер напада — без рачунања саме откупнине — износи око 1,5 милиона долара на глобалном нивоу. Ово је глобални просек који укључује и велике корпорације, па га треба читати као илустрацију реда величине проблема, а не као предвиђање за сваку фирму — али принцип остаје исти: опоравак инфраструктуре после напада је скупљи од одржавања те исте инфраструктуре безбедном унапред.
Ако фирма одлучи (или буде принуђена) да плати откупнину, просечна откупнина у 2025. години износила је око милион долара, док је медијална, типичнија откупнина била око 110.000 долара — и то без икакве гаранције да ће подаци заиста бити враћени.
Новчане казне за неусклађеност са Законом о информационој безбедности — које смо детаљно описали у посебном тексту — износе од 50.000 до 2.000.000 динара за правно лице — оператора приоритетног ИКТ система (за важне операторе до 1.000.000 динара) — и од 5.000 до 50.000 динара за одговорно лице лично. У поређењу са репутационим губитком, застојем у пословању и трошковима опоравка, казна је по правилу најмања, а не највећа ставка на укупном рачуну — иако је управо казна оно чега се фирме најчешће плаше.
Корисно је разликовати четири врсте трошкова, јер се ретко сви виде одједном:
Најважнији, а најмање интуитиван податак из IBM-овог извештаја јесте овај: фирмама у просеку треба 241 дан да уопште открију и обуздају безбедносни пробој. То значи да се штета гомила месецима пре него што фирма зна да је нападнута — а репутациони ефекат и губитак клијената се онда осећају још месецима, понекад годинама после самог инцидента. За разлику од тога, трошак анализе ризика и Акта о безбедности ИКТ система је познат од првог дана, унапред, у целости.
Подаци у овом тексту преузети су из јавно доступних извора: IBM Cost of a Data Breach Report 2025, Sophos State of Ransomware 2025, Coveware квартални извештаји о рансомвер нападима, и истраживања потрошачког поверења након пробоја података. Реч је о глобалним просецима који илуструју ред величине и редослед трошкова, а не о предвиђању за конкретну фирму. Домаћи износи казни преузети су из јавно доступних извора о Закону о информационој безбедности. Текст не представља финансијски ни правни савет.