Програм ревизије ДРИ за 2026. годину и шта он значи за информациону безбедност

Државна ревизорска институција (ДРИ) је највиши орган државне ревизије у Србији и, поред финансијских извештаја, проверава и да ли корисници јавних средстава послују законито и сврсисходно — што све чешће укључује и ревизију информационих система и информационе безбедности. У пракси, ДРИ проверава управо оно што прописује Закон о информационој безбедности: да ли постоји управљање ризиком, акт о безбедности ИКТ система и основне техничке и организационе мере заштите.

Шта досадашње ревизије показују

У више ревизија спроведених током последње две године, код различитих корисника јавних средстава ДРИ је поновљено утврђивала врло сличан образац недостатака:

• управљање информационом безбедношћу није организационо ни кадровски успостављено;
• не постоје правила за праћење и контролу записа о догађајима (логова);
• користе се дељени или генерички администраторски налози, без јасне појединачне одговорности;
• сарадња са спољним пружаоцима ИТ услуга није формално регулисана, посебно за случај прекида сарадње;
• резервне копије података се не тестирају редовно;
• приступ осетљивим подацима није довољно ограничен ни евидентиран.

Ово нису изоловани случајеви — реч је о обрасцу који се понавља код институција различите величине и делатности, што говори да је у питању системски, а не појединачни проблем.

Ако сте већ добили негативну оцену

Ако је ваша институција или фирма већ била предмет ревизије или инспекцијског надзора и добила сличне примедбе — било од ДРИ, било од Канцеларије за информациону безбедност — најбоље је да нас контактирате што пре. Пост-ревизиони извештаји по правилу носе рок за отклањање утврђених недостатака, а недостаци који остану неотклоњени у наредној провери се понављају и носе озбиљније последице. Брза, циљана интервенција у овој фази је битно јефтинија и једноставнија од чекања на следећу ревизију.

Програм ревизије за 2026. — најава као прилика, не као претња

У марту 2026. ДРИ је објавила Програм ревизије за 2026. годину, који обухвата 141 корисника јавних средстава — министарства, локалне самоуправе, здравствене установе, установе образовања и јавна предузећа. Значајан део овогодишњег програма директно се односи на информационе системе.

Оно што је посебно важно: ДРИ свој годишњи програм ревизије објављује унапред, са списком субјеката који ће бити проверени. То значи да институција или јавно предузеће које зна да је на списку не мора да чека саму ревизију да би сазнало где стоји — има на располагању период да се припреми. Тај период, између објаве програма и посете ревизора, идеалан је тренутак да се ангажује специјализован, сертификован тим који ће спровести анализу ризика и геп анализу, и по потреби израдити или ажурирати Акт о безбедности ИКТ система — пре него што се евентуални недостаци званично утврде и упишу у извештај.